Proporcionar soluciones de vulnerabilidad de divulgación de información local

Qualys encontró dos vulnerabilidades en varias distribuciones de Linux, lo que permite a los atacantes locales tener el derecho de crear espacios de nombres de usuarios para filtrar volcados de núcleo para el proceso de ejecutables Suid. Estos afectan AppPort, Ubuntu Core Dump Handler (CVE-2025-5054) y Systemd-Coredump, Systemd-Coredump es el controlador de volcado de Core para Red Hat Enterprise Linux, Fedora y otras distribuciones de Linux ((CVE-2025-4598). CVE-2025-4598 no afectará la distribución de Ubuntu.

La vulnerabilidad tiene una puntuación CVSS de 4.7 (medio), que requiere acceso local y alta complejidad de ataque. Impacta la confidencialidad del espacio de almacenamiento limitado a llamar al ejecutable de Suid. Qualys demuestra hazañas que pueden filtrar las contraseñas de los usuarios, por lo que el impacto real es limitado.

El equipo de seguridad de Canonical ha publicado actualizaciones para paquetes de aplicaciones para todas las distribuciones de Ubuntu afectadas. Por defecto, este paquete se instala en todas las imágenes del servidor Ubuntu e instalaciones de escritorio de Ubuntu. Actualizar medidas de recuperación CVE-2025-5054. La información sobre la versión afectada se puede encontrar en la página CVE vinculada anteriormente. Si tiene estos instalados, nuestro consejo es actualizarlos lo antes posible.

Qualys descubrió que al analizar un bloqueo de la aplicación, Appport intenta detectar si el proceso de bloqueo se ejecuta dentro del contenedor antes de realizar una verificación de consistencia. Esto significa que si un atacante local logra inducir un bloqueo en el proceso privilegiado y lo reemplaza rápidamente con otra ID con la misma ID de proceso que se encuentra dentro del espacio de nombres de montaje y PID, Appport intentará reenviar el volcado central (que puede contener información confidencial que pertenece al proceso original y privilegiado) en el espacio de nombres.

Para realizar con éxito la explotación, un atacante debe tener permisos para el espacio de nombres del usuario, instalación y PID con funcionalidad completa.

En el sistema, ejecute el siguiente comando y compare la versión enumerada con la tabla anterior.

apt list --installed | grep "^apport"

Le recomendamos que actualice todos los paquetes:

sudo apt update && sudo apt upgrade

Si no es posible, los componentes afectados pueden ser dirigidos:

# on focal and newer:

sudo apt update && sudo apt install --only-upgrade apport python3-apport

# on xenial and bionic:

sudo apt update && sudo apt install --only-upgrade apport python3-apport python-apport

Por defecto, Ubuntu 16.04 LTS permite actualizaciones desatendidas. Este servicio:

• Las nuevas actualizaciones de seguridad se aplican automáticamente cada 24 horas.
• Si esta función está habilitada, el parche anterior se aplicará automáticamente dentro de las 24 horas posteriores a la disponibilidad.

La protección más poderosa es la actualización de seguridad de la aplicación. También se exploraron las siguientes mitigaciones. Si no se pueden aplicar actualizaciones de seguridad, Solo debe aplicar los siguientes pasos a los últimos medios Y restaurar la configuración después de la actualización de la aplicación.

La capacidad de los vertederos centrales de los procesos ejecutables de Suid puede deshabilitarse por completo estableciendo fs.suid_dumpable sysctl a 0. Si bien esto neutraliza por completo la vulnerabilidad de vulnerabilidad, también limita la capacidad de investigar los bloqueos de todos los procesos que cambian los privilegios en el momento de la ejecución.

echo "fs.suid_dumpable = 0" | sudo tee /etc/sysctl.d/10-cve-2025-5054.conf

sudo sysctl -p /etc/sysctl.d/10-cve-2025-5054.conf

Nos gustaría agradecer a Qualys por su excelente informe e invitar al equipo de seguridad de Ubuntu a coordinar este problema.