Hilos · 3 noticias en 5 días
CISA avisa que se están explotando tres fallos del kernel de Linux, y uno llevaba catorce años adentro (21/09)
- Noticias
- 3
- Briefings
- 3
- Empieza
- Última
-
Un escape de VM en Docker Sandboxes dejaba que el código del sandbox leyera y modificara archivos de todo el host macOS (17/09)
Docker Sandboxes es donde corre cada agente de código de IA, con el directorio del proyecto montado adentro, así que el código que escapaba es precisamente el agente vuelto contra su usuario o cualquier cosa que el agente instale. CVE-2026-77179 (CVSS 9,4, crítica) está en el servidor host de virtio-fs, que seguía symlinks al reabrir un archivo eliminado desde una ruta guardada: el guest reemplaza un directorio padre por un symlink y lee o escribe con los permisos de la cuenta que corre la VM, "potencialmente llevando a ejecución de código en el host". Afecta de 0.28.0 a 0.42.0 en macOS y se corrigió en 0.42.0 el 7 de septiembre. La acompaña CVE-2026-79994 (CVSS 8,7), un TOCTOU en el relay de sockets Unix de guest a host que permite conectarse a cualquier socket AF_UNIX fuera del workspace, de 0.37.0 a 0.42.0. Docker publicó el aviso el 15 de septiembre, ocho días después del release que ya traía el arreglo, y las notas de versión de 0.42.0 no nombran ninguno de los dos. Sin explotación reportada: CISA marca "none" en ambos. Si no se puede actualizar, la mitigación es usar clone mode y evitar montajes de lectura-escritura del host. The Hacker News
-
Salieron exploits públicos para cuatro fallos del kernel Linux que dan root local, y el mismo día CISA sumó otros tres al catálogo de explotados (18-19/09)
Los cuatro se llaman DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) y DiagSpill (CVE-2026-74469, SCTP); son todos errores de seguridad de memoria en la pila de red, con bugs de fondo de entre 10 y 21 años de antigüedad. Los tres primeros solo se alcanzan desde una cuenta común si están habilitados los user namespaces sin privilegios, que muchas distribuciones activan por defecto; DiagSpill no necesita nada de eso, solo que esté disponible el módulo SCTP. El investigador Asim Manizada los reportó en julio y publicó el write-up con exploits funcionales el 18 de septiembre, después de una espera coordinada con las distribuciones. Los encontró con un proceso asistido por IA que mapea cómo el kernel maneja memoria: el commit del arreglo de DirtyAH6 lleva una línea "Assisted-by" que acredita su herramienta. Los primeros kernels estables con las cuatro correcciones son 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 y 7.2.4, aunque conviene mirar el aviso de la distribución en vez de comparar números. Aparte, el viernes CISA metió en el KEV a CVE-2025-39682 (9,8, ruta de recepción de TLS), CVE-2026-53266 (8,8, escritura fuera de rango en el reescritor SNAT de ebtables) y CVE-2025-39964 (7,8, condición de carrera en sockets AF_ALG), esos sí con evidencia de explotación real. The Hacker News / exploits · The Hacker News / KEV
-
CISA avisa que se están explotando tres fallos del kernel de Linux, y uno llevaba catorce años adentro (21/09)
Los tres se sumaron al catálogo de vulnerabilidades explotadas la semana pasada, con severidades de media a crítica, y la agencia les puso la prioridad más alta: los organismos federales tenían que parchear antes de que terminara el día. El más viejo es CVE-2025-39964, una condición de carrera en la interfaz de sockets criptográficos AF_ALG que permite que escrituras concurrentes corrompan el estado por socket, tiren el sistema o alteren resultados criptográficos; lo encontró la empresa de seguridad ofensiva STAR Labs, que aclaró que sus investigadores dieron con el bug sin ayuda de ningún sistema de IA, y lo demostró con escalada de privilegios y escape de contenedor en el kernelCTF de Google. Los otros dos son CVE-2026-53266, una escritura fuera de límites en la implementación de SNAT de ebtables, y CVE-2025-39682, un error de lógica en la recepción de TLS que maneja mal los registros de longitud cero cuando hay kTLS en juego; para los dos hay exploits públicos. CISA marcó los tres como de "triage forense", lo que significa que no alcanza con parchear: hay que revisar cada equipo afectado buscando señales de que ya lo explotaron. BleepingComputer · CISA
El hilo se arma solo en cada build: junta noticias de días distintos que nombran a la misma entidad y repiten vocabulario que casi no aparece en el resto del archivo. Nadie lo edita a mano, así que puede dejar afuera una noticia o sumar una de al lado.