Segundo informações avançadas pelo The Hacker News, investigadores da JFrog publicaram no passado dia 25 de junho uma demonstração prática de exploração para uma nova falha crítica. A vulnerabilidade, conhecida como DirtyClone e identificada como CVE-2026-43503, afeta a família DirtyFrag e permite que um utilizador local com poucos privilégios corrompa a memória suportada por ficheiros através de um pacote de rede clonado, obtendo acesso de administrador.
O funcionamento da falha na memória
O problema central reside na forma como o sistema copia internamente um pacote de rede. Durante este processo, duas funções de assistência perdem a sinalização de segurança que marca a memória do pacote como partilhada com um ficheiro no disco. Esta ausência de sinalização é o núcleo da vulnerabilidade, permitindo que a exploração avance sem alertar as ferramentas de segurança convencionais.
Na prática, o atacante carrega um binário privilegiado para a memória, associa essas páginas de memória a um pacote de rede e obriga o Linux a cloná-lo. O pacote clonado passa por um túnel IPsec controlado pelo atacante, onde o processo de desencriptação substitui as verificações de início de sessão por código malicioso. Assim, o ficheiro no disco permanece intacto, não deixando rasto para ferramentas de integridade, e uma simples reinicialização restaura o estado original, muitas vezes depois de o acesso já ter sido garantido.
Impacto nos sistemas e formas de proteção
A exploração requer capacidades específicas de administração de rede para configurar o túnel IPsec. Em distribuições onde os namespaces de utilizador não privilegiados estão ativos por predefinição, o atacante consegue obter essa capacidade localmente. A JFrog confirmou a eficácia da falha em sistemas com configurações padrão, embora o Ubuntu 24.04 e versões posteriores restrinjam a criação de namespaces através do AppArmor, bloqueando a via de exploração mais comum.
Para os administradores de sistemas em Portugal que gerem servidores com múltiplos inquilinos, infraestruturas de contentores ou clusters Kubernetes, esta vulnerabilidade exige uma ação imediata. A falha afeta transversalmente a cache de páginas, significando que alterações efetuadas num namespace comprometem todos os processos da máquina. A correção foi integrada na linha principal a 21 de maio, com a versão 7.1-rc5 lançada a 24 de maio. Caso a atualização do sistema operativo não seja possível no imediato, é recomendado restringir a clonagem de namespaces de utilizadores ou bloquear módulos do núcleo específicos como esp4, esp6 e rxrpc.
Nenhum comentário
Seja o primeiro!