Nove falhas críticas no AppArmor expõem milhões de sistemas Linux

Foram descobertas nove vulnerabilidades críticas no AppArmor, módulo de segurança do kernel Linux utilizado para aplicar políticas de controlo de acesso. O conjunto de falhas, designado CrackArmor, estará presente desde a versão 4.11 do kernel, lançada em 2017, e poderá afetar mais de 12,6 milhões de sistemas Linux empresariais.

O AppArmor é o mecanismo de controlo de acesso predefinido em distribuições como Ubuntu, Debian e SUSE. Está também amplamente implementado em infraestruturas empresariais, ambientes vloud, contentores, dispositivos IoT e sistemas edge, o que alarga o potencial impacto destas vulnerabilidades.

Segundo a Qualys Threat Research Unit (TRU), o CrackArmor agrupa várias falhas na implementação do AppArmor. Entre os problemas identificados estão vulnerabilidades do tipo confused deputy, erros de gestão de memória do kernel, como use-after-free e double-free, e leituras fora dos limites, que podem permitir a divulgação de memória do sistema.

De acordo com a empresa, estas falhas podem ser exploradas para contornar restrições em user namespaces, executar código no kernel e escalar privilégios até root. Entre os cenários de ataque possíveis estão a escalada local de privilégios, ataques de negação de serviço por esgotamento da pilha do kernel e a manipulação de políticas de segurança para desativar proteções críticas ou bloquear serviços legítimos.

Sergio Pedroche, Country Manager da Qualys Iberia, sublinha que o caso mostra como configurações predefinidas e mecanismos de proteção amplamente adotados podem criar risco operacional quando surgem falhas ao nível do kernel. Para as equipas de segurança, o impacto vai além da aplicação rotineira de patches e exige revisão do risco associado às configurações base das infraestruturas Linux.

Como medida de mitigação, a Qualys recomenda a aplicação imediata dos patches de kernel disponibilizados pelos fornecedores de Linux. A empresa aconselha ainda a identificação de sistemas com kernels vulneráveis e a monitorização de alterações inesperadas que podem indicar tentativas de exploração.

No momento da divulgação pela Qualys, estas vulnerabilidades ainda não tinham identificadores CVE atribuídos. A organização defende, no entanto, que a ausência dessa referência não reduz a gravidade do problema e que o alerta deve ser tratado como prioritário.