Tre gravi vulnerabilità nel kernel Linux

Nei giorni scorsi tre bachi nel kernel Linux hanno riacceso l’eterno confronto tra la sicurezza del codice aperto contro quella del codice chiuso. I tre bachi incriminati, scoperti la scorsa settimana, permettevano ad un utente locale di ottenere i privilegi di root grazie ad un’errata gestione delle chiamata di sistema vmsplice(), dando modo ad un processo di leggere e modificare alcune aree di memoria del kernel. Le versioni del kernel Linux affette vanno dalla 2.6.17, che ha visto l’introduzione della variante che ha portato la vulnerabilità, fino alla 2.6.24.1.

La vulnerabilità è stata classificata come critica dagli stessi sviluppatori Linux e dai laboratori della iSEC Security Research, mentre Secunia ha giudicato il problema come meno grave del previsto. Resta il fatto che due esempi di exploit sono stati pubblicati dal sito milw0rm.com e dalla società Core Security Technologies. Inoltre la vulnerabilità è stata sfruttata per attaccare l’ISP britannico Claranet.

Gli aggressori hanno sfruttato la falla nel kernel Linux, che gestisce i server della piattaforma di hosting del provider britannico per sostituire i file index.html dei siti ospitati con il biglietto da visita degli attaccanti. L’aggressione si è verificata nel tardo pomeriggio di martedì 12 ed è stata risolta nella mattinata del giorno successivo con conseguenze tutto sommato abbastanza contenute.

Tutte le distribuzioni affette, tra cui Ubuntu, Suse, RedHat, Debian, Mandriva e Slackware, hanno rilasciato gli aggiornamenti necessari a tappare la falla nel giro di 24/48 ore. Già martedì 12 tutte le maggiori distribuzioni avevano reso disponibili le correzioni nei propri repository online, mentre le patch per il codice sorgente del kernel, che hanno portato alle versioni 2.6.24.2, 2.6.23.16, 2.6.22.18, erano già disponibili la sera del 10.

La presenza di almeno una vittima reale, ha fatto superare a questo baco la soglia della vulnerabilità teorica. Questo ha dato voce a quanti sostengono la maggiore sicurezza del closed source rispetto al software a codice aperto. Secondo Secunia, ad esempio, il numero di vulnerabilità scoperte nell’ultimo anno nei prodotti di RedHat e nel browser Firefox è di molto maggiore di quello delle falle scoperte nei corrispondenti software di Microsoft. Inoltre degli studi portati avanti dallo U.S. Department of Homeland Security hanno portato in evidenza come ci sia una media di un’imperfezione di sicurezza ogni 1000 righe di codice, in circa 180 diffusi programmi opensource. D’altro canto, i sostenitori della filosofia aperta, vantano tempi di correzione spesso inferiori alle 24 ore e lamentano seri dubbi sul reale numero delle falle nel software closed source, del quale una buona fetta dei bachi verrebbero corretti tacitamente, senza pubblicare alcun advisory.