A Microsoft atualizou recentemente a sua lista de controladores bloqueados nas novas atualizações do Windows 11, uma medida que acabou por inutilizar temporariamente a aplicação de cópias de segurança Macrium. No entanto, as preocupações de segurança da empresa estenderam-se agora a outro ecossistema. Foi descoberta uma vulnerabilidade severa no kernel que afeta as principais distribuições abertas, com a Agência de Cibersegurança e Segurança de Infraestruturas (CISA) a alertar que a transferência incorreta de recursos é um vetor de ataque frequente, colocando em risco infraestruturas de grande escala.
O impacto direto nas distribuições mais populares
A falha, identificada como CVE-2026-31431 e com uma pontuação CVSS de 7.8, não discrimina alvos. Sistemas operativos amplamente implementados em servidores e infraestruturas, como o Ubuntu, Debian, Fedora, Arch Linux, SUSE, Amazon Linux e a própria Red Hat estão na lista de plataformas afetadas.
De acordo com o aviso de segurança desta última fabricante, o problema reside na interface do algoritmo criptográfico "algif_aead". Uma operação introduziu mapeamentos de dados distintos entre a origem e o destino. Este cenário compromete a integridade dos dados durante as operações criptográficas e afeta a fiabilidade de qualquer comunicação encriptada no sistema.
Um risco grave para ambientes na nuvem
O grande perigo desta vulnerabilidade é a facilidade com que permite a elevação local de privilégios para root. Os investigadores detalham que a falha tem origem num erro lógico no subsistema de criptografia do kernel, introduzido em 2017. Uma otimização mal planeada faz com que o kernel reutilize a memória de origem como destino. Na prática, os atacantes conseguem usar a chamada de sistema splice() para forçar uma substituição de quatro bytes na cache de páginas.
Este ataque pode ser executado através de um simples script em Python com cerca de 732 bytes, permitindo a modificação de binários privilegiados, como o /usr/bin/su. Como a técnica não depende de condições de corrida (race conditions) e funciona de forma consistente em várias distribuições sem grandes alterações, a execução é considerada altamente fiável.
Em ambientes de nuvem baseados em contentores, onde o kernel é partilhado, um atacante com acesso limitado a uma máquina compromete facilmente a totalidade de um servidor. Apesar da exploração ativa estar, para já, contida a demonstrações de conceito (PoC), as equipas de segurança aconselham a aplicação das atualizações dos fornecedores o mais depressa possível. Como medidas preventivas, as organizações podem desativar a criação de sockets AF_ALG, isolar as redes ou recorrer a soluções de deteção de ameaças para bloquear comportamentos suspeitos.
Nenhum comentário
Seja o primeiro!