Una falla di sicurezza è stata individuata all’interno di Linux, la quale può essere sfruttata in un brevissimo lasso di tempo, tant’è che il kernel comincia subito a operare con la memoria precedentemente rilasciata.
Un esempio funzionante, proof-of-concept, per il CVE-2025-38352 è stato rilasciato su GitHub. Il bug ha un punteggio CVSS di 7,4 che conferma che la vulnerabilità può effettivamente essere sfruttata per aumentare i privilegi.
Ul bug riguarda l’implementazione dei timer CPU POSIX ed è una vulnerabilità di tipo use-after-free nella funzione handle_posix_cpu_timers(). Si manifesta solo nelle configurazioni in cui il flag CONFIG_POSIX_CPU_TIMERS_TASK_WORK è disabilitato.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Questa variante è comune nei kernel Android a 32 bit, mentre sui sistemi a 64 bit viene in genere utilizzata una configurazione diversa e la vulnerabilità non è riproducibile.
Il problema deriva da una condizione di race condition che si verifica quando i timer della CPU POSIX vengono attivati sui cosiddetti task zombie. Se la creazione di un processo zombie, da parte del processo padre e l’eliminazione del timer sono sincronizzati con precisione, il kernel può accedere alla memoria già liberata. Nel peggiore dei casi, questo apre la strada all’escalation dei privilegi o persino all’esecuzione di codice a livello di kernel.
L’exploit, denominato Chronomaly, è stato pubblicato da una ricercatrice di nome Faith, che lavora presso Zellic. Il codice era accompagnato da una serie dettagliata di tre documenti tecnici che illustravano le tecniche di rilevamento, analisi e sfruttamento pratico della vulnerabilità. Si sottolinea in particolare che Chronomaly non richiede la conoscenza anticipata degli offset dei simboli del kernel o degli indirizzi di memoria fissi, il che lo rende più portabile e meno vincolato a una build specifica.
Per catturare in modo affidabile la finestra di gara richiesta, l’exploit richiede un processore multi-core con almeno due CPU. La descrizione fornisce i risultati dei test su QEMU con kernel Linux 5.10.157, e i parametri possono essere adattati a diversi ambienti. Utilizza tecniche per espandere la finestra di gara manipolando i timer della CPU e una strategia per distribuire gli oggetti tra le cache degli allocatori, anche per le strutture sigqueue.
È anche importante che la vulnerabilità sia già stata catalogata come attivamente sfruttata, il che significa che è collegata a casi d’uso reali. Sebbene il rischio principale sia attualmente legato ai dispositivi Android a 32 bit, i componenti interessati sono presenti anche nelle versioni a 32 bit di altri sistemi basati su Linux, quindi non vale la pena attribuire il problema interamente ai “vecchi telefoni”.
La raccomandazione è standard, ma questa volta è particolarmente urgente: aggiornare a un kernel con la correzione o abilitare CONFIG_POSIX_CPU_TIMERS_TASK_WORK, se disponibile nella build. Esiste già una correzione, introdotta nel commit f90fff1e152dedf52b932240ebbd670d83330eca, che blocca l’elaborazione dei timer nelle attività zombie. I produttori di dispositivi e gli amministratori di sistema dovrebbero dare priorità a questi aggiornamenti prima che Chronomaly diventi uno strumento universale per attacchi di massa.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Vulnerabilità
Cultura
Cyberpolitica
Cybercrime
Cybercrime