La empresa Qualys ha identificado dos vulnerabilidades en las herramientas apport (CVE-2025-5054) y systemd-coredump (CVE-2025-4598), utilizadas para procesar archivos core generados tras la finalizaci\u00f3n an\u00f3mala de procesos. Las vulnerabilidades permiten acceder a archivos core guardados despu\u00e9s de un cierre an\u00f3malo de aplicaciones suid o de algunos procesos en segundo plano del sistema, en cuya memoria pueden encontrarse credenciales en cach\u00e9 o claves de cifrado. La herramienta apport se invoca autom\u00e1ticamente para guardar los core dumps en Ubuntu, mientras que systemd-coredump lo hace en Red Hat Enterprise Linux 9+, Fedora y muchas otras distribuciones de Linux. <\/p>\n
Se ha demostrado una t\u00e9cnica de ataque en la que se generan condiciones para un cierre an\u00f3malo de la aplicaci\u00f3n suid unix_chkpwd y se obtiene acceso al archivo core con el volcado de estado durante el fallo. En el core dump guardado estaban presentes los hashes de las contrase\u00f1as de los usuarios del sistema, que permanec\u00edan en la memoria del proceso que fall\u00f3 tras cargar el contenido de \/etc\/shadow. La posibilidad de explotaci\u00f3n de las vulnerabilidades se ha demostrado en Ubuntu 24.04 y Fedora 40\/41, pero se supone que otras distribuciones tambi\u00e9n son vulnerables a ataques similares. <\/p>\n
Ambas vulnerabilidades son causadas por una condici\u00f3n de carrera que permite sustituir un proceso suid que ha fallado por otro proceso en el momento despu\u00e9s de que el n\u00facleo inicia el manejo del fallo, pero antes de que el manipulador verifique en el espacio de usuario los par\u00e1metros del proceso a trav\u00e9s de \/proc\/pid\/files. La invocaci\u00f3n de apport y systemd-coredump se realiza de la siguiente manera: el n\u00facleo, tras recibir la informaci\u00f3n sobre el fallo del proceso, llama al manipulador especificado en el archivo \/proc\/sys\/kernel\/core_pattern y luego le pasa el contenido del core dump a trav\u00e9s de un flujo de entrada. <\/p>\n
La generaci\u00f3n del core dump y el inicio del manipulador no son instant\u00e1neos y hay tiempo suficiente para sustituir el proceso suid que ha fallado por un proceso de usuario normal. En caso de sustituci\u00f3n, el manipulador de core dumps en ejecuci\u00f3n considerar\u00e1 que la falla no ocurri\u00f3 en el proceso suid, sino en una aplicaci\u00f3n de usuario normal y, en consecuencia, guardar\u00e1 el archivo core con acceso para un usuario normal, no solo para un administrador. <\/p>\n
El ataque a apport se reduce a los siguientes pasos: <\/p>\n
Para obtener el identificador necesario para el nuevo proceso, coincidente con el identificador del proceso suid, se detiene el proceso suid con la se\u00f1al SIGSTOP antes de enviar la se\u00f1al SIGSEGV, y mientras est\u00e1 detenido, se inician ciclos de nuevos procesos hasta que se obtiene un PID con un n\u00famero anterior cercano al del proceso suid. Despu\u00e9s de ajustar la numeraci\u00f3n del PID, se env\u00edan las se\u00f1ales SIGSEGV y SIGCONT al proceso suid, tras lo cual se env\u00eda SIGKILL y se reinician c\u00edclicamente nuevos procesos para alcanzar el mismo PID que el del proceso suid. <\/p>\n
En cuanto a systemd-coredump, por un lado, realizar un ataque contra \u00e9l es m\u00e1s f\u00e1cil, ya que no es necesario reemplazar un proceso con suid por un proceso en un espacio de usuario separado, y basta con lograr la coincidencia de AT_UID y AT_EUID. Por otro lado, systemd-coredump est\u00e1 escrito en C y se ejecuta lo suficientemente r\u00e1pido, lo que ofrece menos tiempo para hacer el reemplazo, a diferencia de apport, que est\u00e1 escrito en Python y carga varios archivos .pyc durante el proceso de inicializaci\u00f3n. Este problema se soluciona al ralentizar artificialmente systemd-coredump: al invocar un archivo suid se pasan un gran n\u00famero de argumentos de l\u00ednea de comandos, lo que crea el retraso necesario que surge durante el procesamiento de \/proc\/pid\/cmdline. <\/p>\n
Durante el an\u00e1lisis de vulnerabilidades, los investigadores tambi\u00e9n identificaron que systemd-coredump, al configurarse, no especifica el flag \"%d\" en \/proc\/sys\/kernel\/core_pattern, lo que permite a un atacante provocar un cierre inesperado de procesos en segundo plano que se ejecutan con privilegios de root y generan otros procesos cambiando el identificador de usuario a un usuario no privilegiado bajo el cual se lleva a cabo el ataque. Esta posibilidad permite ejecutar ataques no solo contra aplicaciones setuid, sino tambi\u00e9n contra procesos como sshd-session (OpenSSH), sd-pam (systemd) y cron, para obtener datos confidenciales que permanecen en su memoria, como claves privadas, hashes de contrase\u00f1as de \/etc\/shadow, marcas canarias del stack y datos para eludir la aleatorizaci\u00f3n del espacio de direcciones (ASLR). <\/p>\n