Ataque SLUBStick: nova ameaça à segurança do Linux

Pesquisadores da Universidade de Tecnologia de Graz, na Áustria, descobriram um novo tipo de ataque que está causando alvoroço no mundo da segurança cibernética. Conhecido como ataque SLUBStick, essa nova ameaça conseguiu contornar as defesas modernas do kernel do Linux, proporcionando acesso arbitrário de leitura e escrita. As versões do kernel do Linux 5.19 e 6.2 são as mais afetadas por esse exploit.

O SLUBStick é uma técnica de ataque inovadora que explora a reutilização de memória do alocador de kernel de uma maneira nunca vista antes. Isso torna o SLUBStick mais confiável do que a maioria dos outros ataques de cache cruzado. Enquanto a maioria desses ataques tem uma taxa de sucesso de apenas 40%, os pesquisadores conseguiram elevar a taxa de sucesso do SLUBStick para impressionantes 99% em caches genéricos frequentemente usados.

Apesar das robustas proteções de segurança disponíveis para o kernel do Linux, o SLUBStick conseguiu contornar a Prevenção de Execução do Modo Supervisor (SMEP), a Prevenção de Acesso do Modo Supervisor (SMAP) e a Randomização do Layout do Espaço de Endereço do Kernel (KASLR). Embora as defesas existentes prometam reduzir a ameaça do SLUBStick, nenhuma delas oferece proteção abrangente no momento. Portanto, o perigo de exploração via SLUBStick ainda é real, mesmo com as defesas do kernel em uso.

O SLUBStick aproveita uma vulnerabilidade de heap na gestão de memória do Linux para obter privilégios elevados, sair de ambientes de sandbox em máquinas virtuais e obter acesso root ao sistema host. Ainda mais preocupante é o fato de que o SLUBStick usa um exploit de canal lateral para observar o uso da memória e determinar o momento exato de realocar um hash de memória. Isso significa que o SLUBStick pode prever e controlar a reutilização de memória para aumentar sua taxa de sucesso.

Para que o SLUBStick funcione, os invasores precisam de acesso local ao sistema Linux atacado. Além disso, o ataque requer a presença de uma vulnerabilidade de heap no kernel do Linux, que foi encontrada tanto no kernel do Linux 5.19 quanto no 6.2.

Os pesquisadores analisaram sistematicamente o ataque nas duas versões do kernel do Linux, descobrindo que o SLUBStick era eficaz na execução de cache genérico de kmalloc-08 a kmalloc-4096. Usando uma vulnerabilidade sintética e nove CVEs do mundo real, eles testaram o método de ataque para escalar privilégios e obter acesso root.

1. CVE-2023-21400
   • Capacidade: Double Free
   • Cache: kmalloc-32
2. CVE-2023-3609
   • Capacidade: Use After Free
   • Cache: kmalloc-96
3. CVE-2022-32250
   • Capacidade: Use After Free
   • Cache: kmalloc-64