La empresa Qualys ha descubierto una vulnerabilidad (CVE-2025-6019) en la biblioteca libblockdev, que permite obtener derechos de root en el sistema a trav\u00e9s de manipulaciones con el proceso en segundo plano udisks. Un prototipo de exploit ha sido demostrado en Ubuntu, Debian, Fedora y openSUSE Leap 15. <\/p>\n
El proceso udisks se utiliza pr\u00e1cticamente en todas las distribuciones de Linux y proporciona una interfaz D-Bus para realizar operaciones con dispositivos de almacenamiento, como montar y formatear. Para llevar a cabo acciones con los dispositivos, udisks llama a las funciones de la biblioteca libblockdev. El acceso a udisks, por defecto, est\u00e1 abierto solo para los usuarios que trabajan en el contexto 'allow_active', es decir, aquellos que tienen acceso f\u00edsico al ordenador y se han conectado a trav\u00e9s de la consola local o han iniciado una sesi\u00f3n gr\u00e1fica. Los usuarios que se conectan de forma remota, por ejemplo, a trav\u00e9s de ssh, no entran en este contexto y no pueden explotar directamente la vulnerabilidad. <\/p>\n
Para eludir esta restricci\u00f3n, se puede utilizar un truco que permite elevar el nivel de autenticaci\u00f3n a 'allow_active' a trav\u00e9s de manipulaciones en el arranque del servicio de usuario de systemctl, que polkitd interpretar\u00e1 como una se\u00f1al de sesi\u00f3n local. La esencia del m\u00e9todo es que polkitd determina la existencia de acceso f\u00edsico y asigna el nivel 'allow_active' basado en se\u00f1ales indirectas que pueden ser influenciadas. Las limitaciones del m\u00e9todo son que, para enga\u00f1ar a polkitd, se requiere que ya haya una sesi\u00f3n activa de un usuario local con acceso f\u00edsico en el sistema. <\/p>\n
El segundo m\u00e9todo para obtener derechos 'allow_active' es explotar una vulnerabilidad (CVE-2025-6018) en PAM (M\u00f3dulos de Autenticaci\u00f3n Plugables), que los investigadores de Qualys identificaron durante el an\u00e1lisis de vulnerabilidades en libblockdev. La vulnerabilidad permite a cualquier usuario, incluido aquel que se conecta por SSH, realizar operaciones en el contexto 'allow_active'. El problema es espec\u00edfico para las configuraciones de PAM en openSUSE Leap 15 y SUSE Linux Enterprise 15, y se manifiesta \u00fanicamente en estas distribuciones. <\/p>\n
En el m\u00f3dulo pam_env en openSUSE y SUSE, la lectura del archivo ~\/.pam_environment est\u00e1 habilitada por defecto. A trav\u00e9s de este archivo, el usuario puede establecer las variables de entorno XDG_SEAT=seat0 y XDG_VTNR=1, que ser\u00e1n interpretadas como un indicador de la presencia f\u00edsica del usuario, incluso si la entrada se realiza a trav\u00e9s de SSH. El m\u00f3dulo pam_env tambi\u00e9n se invoca al conectarse por ssh en Debian 12 y Ubuntu 24.04 (en Debian 13 y Ubuntu 24.10+ est\u00e1 deshabilitado), pero establecer variables de entorno en estas distribuciones no puede utilizarse para elevar el nivel de acceso a 'allow_active', ya que pam_env se invoca en la etapa final despu\u00e9s de cargar el m\u00f3dulo pam_systemd y las variables de entorno establecidas no pueden influir en los par\u00e1metros de la sesi\u00f3n. <\/p>\n
Con respecto a la vulnerabilidad en libblockdev, un atacante puede montar una imagen de cualquier sistema de archivos en modo loop, colocando en esta imagen un archivo ejecutable con el flag SUID root o un dispositivo especial (\/dev\/mem) para acceso de bajo nivel a discos o memoria. Para bloquear tales ataques, las im\u00e1genes de sistema de archivos son montadas por el sistema con los flags nosuid y nodev, pero la vulnerabilidad en libblockdev permite montar una imagen sin los flags nosuid y nodev. La esencia de la vulnerabilidad es que udisks permite a un usuario con nivel de acceso 'allow_active' cambiar el tama\u00f1o de sus sistemas de archivos y libblockdev, durante la ejecuci\u00f3n de esta operaci\u00f3n, monta temporalmente el sistema de archivos sin establecer los flags nosuid y nodev. <\/p>\n
As\u00ed, el ataque se reduce a crear un dispositivo loop basado en una imagen del sistema de archivos XFS, que contiene un archivo suid root, iniciar la operaci\u00f3n de cambio de tama\u00f1o del dispositivo loop y monitorear el momento en que se monta en el directorio \/tmp\/blockdev*: v\u00edctima> killall -KILL gvfs-udisks2-volume-monitor v\u00edctima> udisksctl loop-setup --file .\/xfs.image --no-user-interaction Archivo mapeado .\/xfs.image como \/dev\/loop0. v\u00edctima> mientras true; hacer \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; hecho 2>\/dev\/null & v\u00edctima> gdbus call --system --dest org.freedesktop.UDisks2 --object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Error: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Error al cambiar el tama\u00f1o del sistema de archivos en \/dev\/loop0: Fall\u00f3 al desmontar '\/dev\/loop0' despu\u00e9s de cambiar su tama\u00f1o: el destino est\u00e1 ocupado -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 \/tmp\/blockdev.RSM429\/bash v\u00edctima> \/tmp\/blockdev*\/bash -p v\u00edctima# id uid=65534(nobody) gid=65534(nobody) euid=0(root) grupos=65534(nobody) <\/p>\n
La vulnerabilidad en libblockdev ha sido mitigada por ahora solo en forma de parches. Se puede verificar el estado de la nueva versi\u00f3n del paquete o la preparaci\u00f3n de una soluci\u00f3n en las siguientes p\u00e1ginas (si la p\u00e1gina no est\u00e1 disponible, significa que los desarrolladores de la distribuci\u00f3n a\u00fan no han comenzado a revisar el problema): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo y Arch (1, 2). Como soluci\u00f3n alternativa para bloquear la vulnerabilidad, se puede modificar la regla de acceso a la operaci\u00f3n \u00aborg.freedesktop.udisks2.modify-device\u00bb en polkit, cambiando en el archivo \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy el valor del par\u00e1metro \u00aballow_active\u00bb de \u00abyes\u00bb a \u00abauth_admin\u00bb. <\/p>\n