El tema más repetido la pasada semana en entornos linuxeros fue una vulnerabilidad de seguridad descubierta que afectaba al kernel de numerosas distribuciones de Linux. La llamada vmsplice() introducida en la version del kernel 2.6.17 y en posteriores versiones extendidas 2.6.23 y 2.6.24, fue la responsable. Debido a este código, un usuario anónimo sin privilegios que se conectase a un sistema con dicha version de kernel en Linux, podria obtener privilegios con acceso root en caso de ejecutar código, algo que se define como “privilege escalation exploit”.

La vulnerabilidad se hizo pública el dia 8 de febrero. Según el registro de cambios changelog del kernel de Linux, fue solucionado el error el mismo dia y una nueva version 2.6.24.2, fue liberada el dia 11 de febrero.

Las principales distribuciones de Linux comenzaron a desarrollar parches de seguridad para corregir la vulnerabilidad el mismo dia 11 cuando múltiples sitios de internet se hicieron eco de la noticia. ¿Cómo de rápido actuaron los equipos de seguridad de las distribuciones Linux? Necesitaron tiempo para comprender el fallo de seguridad, para corregirlo y realizar tests de prueba antes de dar el trabajo por finalizado.

Para cada distribución esto depende de la disponibilidad de los expertos en seguridad, de la version del kernel, de la coordinación entre equipos y el nivel de coordinación. Al margen de considerar todos estos factores, para el usuario final, cuanto más rápido, mejor.

Un aviso de seguridad suele ser la mejor forma de poner a todos los usuarios de Linux en alerta para que se corriga la vulnerabilidad lo antes posible. Aunque muchas personas suelen enterarse por email, feeds RSS, notas de prensa o conversaciones con otros linuxeros.

La pasada semana, un gran número de avisos de seguridad para corregir el exploit vmsplice() fueron publicados por las principales distribuciones; Debian GNU/Linux fue el primero en tener su aviso de seguridad con los pasos para corregir la vulnerabilidad, uno o dos dias más tarde, el resto de distribuciones habian hecho el trabajo. Gentoo Linux no publicó un aviso de seguridad para el kernel de Linux pero si que corrigió la vulnerabilidad el dia 13 de febrero.

A continuación se muestra un cuadro elaborado por Distrowatch con los tiempos de cada distribución al resolver los errores de seguridad del kernel de Linux:

Aunque existen diferencias desde Debian, con la mayor celeridad en su equipo de seguridad, la mayor parte de las distribuciones fueron rápidas y resolvieron muy bien la incidencia.