A Agência de Segurança Cibernética e de Infraestrutura dos EUA adicionou uma vulnerabilidade crítica do kernel Linux ao seu catálogo de Vulnerabilidades Exploradas Conhecidas, alertando que os agentes de ameaças estão aproveitando ativamente a vulnerabilidade de segurança em campanhas de ransomware direcionadas a organizações em todo o mundo.
A vulnerabilidade, identificada como CVE-2024-1086, representa uma ameaça significativa aos sistemas baseados em Linux e requer atenção imediata das equipes de segurança cibernética.
CVE-2024-1086 é uma vulnerabilidade de uso após liberação que afeta o componente netfilter: nf_tables dentro do Kernel Linux.
Esse tipo de falha de segurança ocorre quando um programa continua a usar um ponteiro de memória após a memória associada ter sido liberada, permitindo que invasores manipulem alocações de memória e potencialmente executem código arbitrário com privilégios elevados.
A vulnerabilidade permite que os agentes da ameaça obtenham escalonamento de privilégios locais, concedendo acesso administrativo não autorizado aos sistemas comprometidos.
A vulnerabilidade é categorizada em CWE-416, uma enumeração de pontos fracos comuns que aborda especificamente use-após-livre condições.
Essas vulnerabilidades são particularmente perigosas porque podem ser exploradas para contornar os controles de segurança e escalar privilégios de uma conta de usuário padrão para o nível root ou administrador.
Depois que os invasores obtêm privilégios elevados, eles podem implantar cargas de ransomware, exfiltrar dados confidenciais, estabelecer acesso persistente ou realizar outras atividades maliciosas na infraestrutura comprometida.
Vulnerabilidade do Kernel Linux
A designação do CVE-2024-1086 pela CISA como “conhecida por ser usada em campanhas de ransomware” ressalta a gravidade da ameaça.
Grupos cibercriminosos incorporaram a exploração desta vulnerabilidade em suas cadeias de ataque, usando-a como uma etapa crítica para aumentar os privilégios após obter acesso inicial aos sistemas Linux.
A presença da vulnerabilidade no subsistema netfilter, que lida com a filtragem de pacotes e a tradução de endereços de rede, torna-a particularmente valiosa para invasores que precisam manipular o tráfego de rede ou desabilitar mecanismos de segurança.
Os operadores de ransomware normalmente exploram o CVE-2024-1086 após estabelecerem uma posição inicial por meio de phishing, roubo de credenciaisou exploração de vulnerabilidades da Internet.
Uma vez dentro da rede com privilégios de usuário limitados, os invasores aproveitam essa vulnerabilidade do kernel para obter acesso root, permitindo-lhes desabilitar o software de proteção de endpoint, criptografar arquivos críticos em vários sistemas e exigir pagamentos de resgate das organizações vítimas.
Mitigações
A CISA tem publicado orientação clara para organizações que operam sistemas Linux, orientando-as a “aplicar mitigações de acordo com as instruções do fornecedor ou descontinuar o uso do produto se as mitigações não estiverem disponíveis”.
Esta diretiva enfatiza a importância crítica de corrigir imediatamente os sistemas afetados. As organizações devem priorizar a atualização das versões do kernel Linux para as versões de segurança mais recentes fornecidas pelos seus fornecedores de distribuição, independentemente de usarem Chapéu Vermelho Enterprise Linux, Ubuntu, Debian, SUSE ou outras variantes do Linux.
A inclusão do CVE-2024-1086 no catálogo KEV da CISA traz um significado adicional para as agências federais, que devem abordar as vulnerabilidades catalogadas dentro de prazos especificados de acordo com a Diretiva Operacional Vinculativa 22-01.
No entanto, os especialistas em segurança recomendam que todas as organizações, independentemente do setor ou tamanho, tratem as vulnerabilidades listadas no KEV com a mais alta prioridade devido à exploração ativa confirmada.
A CISA mantém o catálogo KEV como um recurso confiável para ajudar as organizações a gerenciar melhor as vulnerabilidades e priorizar os esforços de correção com base nas atividades de ameaças do mundo real.
O catálogo está disponível em vários formatos, incluindo CSV, JSON e visualizações impressas, permitindo a integração com plataformas de gerenciamento de vulnerabilidades e sistemas de gerenciamento de eventos e informações de segurança.
As organizações devem incorporar o catálogo KEV como um contributo crítico para os seus quadros de gestão de vulnerabilidades, garantindo que as vulnerabilidades exploradas recebem atenção imediata antes das ameaças teóricas.
Os defensores da rede devem implementar monitoramento abrangente para sinais de exploração, revisar os logs do sistema em busca de tentativas incomuns de escalonamento de privilégios e verificar se todas as instalações do kernel Linux estão atualizadas para versões corrigidas.
Estratégias de defesa profunda, incluindo segmentação de rede e controles de acesso rigorosos, podem ajudar a minimizar o impacto da exploração bem-sucedida enquanto os patches são implantados em ambientes corporativos.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.