OpenBSD 8.0 è appena uscita e già richiede patch. Scoperto un grave bug nel kernel

Il 20 ottobre, gli sviluppatori di OpenBSD hanno rilasciato OpenBSD 8.0 e pubblicato quattro patch, tra cui una per un grave bug nel kernel che poteva causare un overflow di memoria durante attacchi remoti su piattaforme amd64 con AES-NI e octeon con coprocessore crittografico.

Anche OpenBSD, nota per il suo approccio rigoroso alla sicurezza, ha avuto bisogno di patch nel giorno di un importante rilascio. Il 20 ottobre i sviluppatori hanno presentato OpenBSD 8.0 e nello stesso giorno hanno pubblicato quattro correzioni per il nuovo sistema. La sessantunesima versione ha portato meccanismi di protezione aggiornati, supporto per macchine virtuali più potenti, nuove funzionalità di rete e una nuova versione di OpenSSH.

La correzione più preoccupante riguarda IPsec con l’algoritmo AES-GMAC. Un errore poteva causare un overflow di memoria del kernel durante un attacco remoto su determinate configurazioni hardware. Erano a rischio le piattaforme amd64 con AES-NI e octeon con coprocessore crittografico. Secondo l’avviso degli sviluppatori, l’implementazione AES-GCM non è stata colpita.

Nell’elenco delle prime correzioni sono inclusi anche errori del server DNS NSD, problemi del driver video con il rischio di accesso a memoria liberata e un buffer overflow nella sottosistema PPP. La pagina delle correzioni elenca tre aggiornamenti di sicurezza e un aggiornamento di affidabilità, pubblicati il primo giorno. Per le architetture comuni sono disponibili patch binarie tramite syspatch.

In OpenBSD 8.0 sono state rafforzate le funzionalità di rete. Ad ogni avvio il sistema riorganizza casualmente i file eseguibili del server web httpd e del server di posta smtpd, complicando gli attacchi basati su indirizzi permanenti. httpd blocca le richieste HTTP con indicazioni conflittuali della lunghezza. Anche il codice di smtpd è stato modificato per ridurre il numero di falsi messaggi di errore dai scanner basati su modelli linguistici.

La distribuzione include OpenSSH 10.6. Gli sviluppatori hanno disattivato la compressione lessicale LZ77 nel client SSH a causa di una potenziale fuga di informazioni attraverso un canale laterale e hanno corretto l’applicazione dei limiti ChannelTimeout e RekeyLimit sul server. È stata aggiunta la supporto sperimentale per la firma post-quantistica composita ML-DSA con Ed25519. Sono state rafforzate anche le verifiche delle chiavi e l’elaborazione dei dati prima dell’accesso dell’utente.

La protezione di altri componenti è stata rivista. Il server DHCP non accetta più alcuni dati non validi che potevano causare un crash o un’esaurimento della memoria. L’archiviatore pax non dovrebbe più estrarre file al di fuori della directory di lavoro. Sullo sfondo del rilascio della versione rimane attuale la storia dell’exploit Big Fish, che utilizzava una catena di vecchi errori del kernel per ottenere privilegi root locali.

Sono aumentate le capacità del sistema di virtualizzazione. Il componente integrato vmd ora supporta fino a 64 processori virtuali in una singola macchina virtuale. Su amd64 lo spazio degli indirizzi virtuali del kernel è stato esteso da 4 a 512 GB e la mappatura diretta della memoria fisica è stata posizionata a un indirizzo casuale. Rispetto a OpenBSD 7.9, sono state migliorate le capacità di virtualizzazione e il supporto per hardware moderno.

Per arm64 è stata aggiunta l’ibernazione, per RISC-V il supporto per istruzioni vettoriali e nuovi meccanismi di interrupt. Lo stack grafico è stato aggiornato al livello Linux 6.18.53, inclusa la supporto per le schede video Intel Arc A-Series. In LibreSSL 4.4.0 il gruppo preferito per TLS 1.3 è diventato l’ibrido X25519MLKEM768. La versione è disponibile sui mirror ufficiali e per il passaggio da 7.9 è stata pubblicata una guida.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response