Οι ερευνητές κυβερνοασφάλειας της Qualys ανακάλυψαν εννέα κρίσιμες ευπάθειες στο Linux AppArmor που επιτρέπουν σε μη προνομιούχους χρήστες να κλιμακώσουν τα δικαιώματά τους σε root και να παρακάμψουν την απομόνωση των containers. Οι ευπάθειες CrackArmor υπάρχουν στον πυρήνα του Linux από το 2017 και επηρεάζουν περισσότερες από 12,6 εκατομμύρια εταιρικές εγκαταστάσεις Linux παγκοσμίως. Η μακροχρόνια παρουσία αυτών των αδυναμιών καθιστά την κατάσταση ιδιαίτερα ανησυχητική για τους διαχειριστές συστημάτων και τις εταιρείες που βασίζονται στο AppArmor για την προστασία των υποδομών τους.
Δείτε επίσης: SolarWinds Serv-U: Κρίσιμες ευπάθειες επιτρέπουν root πρόσβαση
Το AppArmor είναι ένα κρίσιμο module ασφαλείας του Linux που παρέχει υποχρεωτικό έλεγχο πρόσβασης (mandatory access control – MAC) και προστατεύει το λειτουργικό σύστημα από εξωτερικές και εσωτερικές απειλές. Έχει ενσωματωθεί στον κύριο πυρήνα του Linux από την έκδοση 2.6.36 και χρησιμοποιείται ευρέως σε διανομές όπως Ubuntu, Debian και SUSE. Η ευρεία υιοθέτησή του σε enterprise περιβάλλοντα και cloud υποδομές καθιστά αυτές τις ευπάθειες ιδιαίτερα επικίνδυνες, καθώς μπορούν να επηρεάσουν εκατομμύρια servers και containerized εφαρμογές.
Σύμφωνα με τον Saeed Abbasi, senior manager της Qualys Threat Research Unit (TRU), οι ευπάθειες CrackArmor εκμεταλλεύονται μια confused deputy αδυναμία που επιτρέπει σε μη προνομιούχους χρήστες να χειραγωγήσουν τα προφίλ ασφαλείας μέσω pseudo-files. Αυτό οδηγεί σε παράκαμψη των περιορισμών user-namespace και εκτέλεση αυθαίρετου κώδικα εντός του πυρήνα. Η φύση αυτών των επιθέσεων καθιστά ιδιαίτερα δύσκολη την ανίχνευσή τους, καθώς εκμεταλλεύονται νόμιμες λειτουργίες του συστήματος για κακόβουλους σκοπούς.
Τεχνικές λεπτομέρειες των ευπάθειων CrackArmor
Οι εννέα ευπάθειες που συνθέτουν το CrackArmor καταγράφονται ως CVE-2026-23235, CVE-2026-23236, CVE-2026-23237 και CVE-2026-23238. Οι αδυναμίες επηρεάζουν όλους τους πυρήνες Linux από την έκδοση 4.11 και μετά, σε οποιαδήποτε διανομή που ενσωματώνει το AppArmor. Η ευρεία κάλυψη εκδόσεων σημαίνει ότι ακόμη και παλαιότερα συστήματα που δεν έχουν ενημερωθεί πρόσφατα είναι εκτεθειμένα σε αυτές τις απειλές.
Οι confused deputy ευπάθειες εμφανίζονται όταν ένα προνομιούχο πρόγραμμα εξαναγκάζεται από έναν μη εξουσιοδοτημένο χρήστη να κάνει κακή χρήση των προνομίων του για να εκτελέσει μη επιθυμητές, κακόβουλες ενέργειες. Το πρόβλημα εκμεταλλεύεται την εμπιστοσύνη που συνδέεται με ένα εργαλείο υψηλότερων προνομίων για να εκτελέσει εντολές που οδηγούν σε κλιμάκωση προνομίων. Αυτός ο τύπος επίθεσης είναι ιδιαίτερα ύπουλος γιατί χρησιμοποιεί τα ίδια τα μηχανισμά ασφαλείας του συστήματος εναντίον του.
Δείτε επίσης: ClipXDaemon Malware: Νέος Crypto Clipboard Hijacker στο Linux
Η Qualys επισημαίνει ότι μια οντότητα χωρίς δικαιώματα να εκτελέσει μια ενέργεια μπορεί να χειραγωγήσει τα προφίλ AppArmor για να απενεργοποιήσει κρίσιμες προστασίες υπηρεσιών ή να επιβάλει πολιτικές deny-all, προκαλώντας επιθέσεις άρνησης υπηρεσίας (DoS) στη διαδικασία. Επιπλέον, οι ευπάθειες επιτρέπουν stack exhaustion και παράκαμψη του Kernel Address Space Layout Randomization (KASLR) μέσω out-of-bounds reads, δημιουργώντας πολλαπλά vectors επίθεσης.
Αντίκτυπος στην ασφάλεια containers και enterprise περιβάλλοντα
Οι ευπάθειες CrackArmor έχουν ιδιαίτερα σοβαρό αντίκτυπο στα containerized περιβάλλοντα και τις εταιρικές υποδομές cloud. Επιτρέπουν σε μη προνομιούχους χρήστες να δημιουργήσουν πλήρως ικανά user namespaces, παρακάμπτοντας αποτελεσματικά τους περιορισμούς user namespace του Ubuntu που υλοποιούνται μέσω AppArmor. Αυτό είναι ιδιαίτερα προβληματικό σε shared hosting περιβάλλοντα και multi-tenant cloud υποδομές όπου η απομόνωση μεταξύ των χρηστών είναι κρίσιμη για την ασφάλεια.
Αυτό υπονομεύει κρίσιμες εγγυήσεις ασφαλείας όπως η απομόνωση containers, η επιβολή ελάχιστων προνομίων και η ενίσχυση υπηρεσιών. Σε συνδυασμό με τις εγγενείς αδυναμίες σε επίπεδο πυρήνα στην ανάλυση προφίλ, οι επιτιθέμενοι μπορούν να παρακάμψουν τους περιορισμούς user-namespace και να επιτύχουν τοπική κλιμάκωση προνομίων (LPE) σε πλήρη root πρόσβαση. Η δυνατότητα παράκαμψης container isolation θέτει σε κίνδυνο ολόκληρες Kubernetes και Docker υποδομές.
Η χειραγώγηση πολιτικών θέτει σε κίνδυνο ολόκληρο τον host, ενώ οι παρακάμψεις namespace διευκολύνουν προηγμένα exploits πυρήνα όπως η αυθαίρετη αποκάλυψη μνήμης. Οι δυνατότητες DoS και LPE έχουν ως αποτέλεσμα διακοπές υπηρεσιών, παραποίηση διαπιστευτηρίων μέσω passwordless root (π.χ. τροποποίηση /etc/passwd), ή αποκάλυψη KASLR, που επιτρέπει περαιτέρω αλυσίδες remote exploitation. Σε enterprise περιβάλλοντα, αυτό μπορεί να οδηγήσει σε πλήρη compromise των συστημάτων και κλοπή ευαίσθητων δεδομένων.
Δείτε επίσης: Το LockBit 5.0 επιτίθεται σε συστήματα Windows, Linux & ESXI
Πέρα από την άμεση εφαρμογή patches, οι οργανισμοί πρέπει να υλοποιήσουν πρόσθετα μέτρα ασφαλείας για την ανίχνευση και πρόληψη τέτοιων επιθέσεων. Η παρακολούθηση των AppArmor logs για ασυνήθιστη δραστηριότητα, η εφαρμογή SELinux ως επιπλέον στρώμα ασφαλείας και η χρήση εργαλείων runtime security όπως το Falco μπορούν να βοηθήσουν στην έγκαιρη ανίχνευση επιθέσεων. Επιπλέον, η περιοδική ελεγχόμενη εκτέλεση penetration testing και vulnerability assessments μπορεί να αποκαλύψει παρόμοιες αδυναμίες πριν αυτές εκμεταλλευτούν από κακόβουλους actors.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
