В системе найдена врожденная уязвимость

Qualys обнаружила уязвимость в открытой операционной системе (ОС) Linux, которая существует с момента появления OC и может наделить правами администратора любого пользователя. Под угрозой оказались и российские операционные системы на базе Linux, которые установлены в банках, на промышленных объектах и в госсекторе. Разработчики отечественных ОС на Linux уже начали публиковать обновления, закрывающие пробел в безопасности. Но проблема может быть не единичной, поскольку комплексно исследованием исходного кода Linux мало кто занимался, считают эксперты.

Американский поставщик решений облачной кибербезопасности Qualys обнаружил уязвимость в Linux, которая получила название PwnKit, следует из отчета компании, опубликованного 25 января. Уязвимость позволяет любому пользователю получить полные привилегии администратора в системе — это настолько легко, что в Qualys называют ее «мечтой злоумышленника».

Исследователи утверждают, что уязвимость по умолчанию установлена на все дистрибутивы Linux и существует в компоненте pkexec (графический интерфейс) с самого его создания, то есть почти 13 лет.

Проблема присутствует в некоторых российских дистрибутивах Linux, подтвердил “Ъ” старший исследователь угроз кибербезопасности «Лаборатории Касперского» Борис Ларин.

Права администратора дают безграничные возможности злоумышленникам, и скорее всего, в течение года именно эта уязвимость станет основным инструментом атаки на устройства под управлением Linux, полагает глава центра мониторинга и реагирования на инциденты «Инфосистемы Джет» Алексей Мальнев: «Мишенью могут быть банки, промышленные предприятия и госсектор».

Через несколько часов после анонса проблемы в публичном поле появились прототипы эксплойтов (софта для использования описанной уязвимости), а дистрибутивы Linux начали выпускать обновления безопасности, рассказал ведущий специалист отдела исследований безопасности ОС Positive Technologies Александр Попов. В «Ред ОС» используется модуль, который потенциально относится к уязвимым, однако компания регулярно тестирует ОС, отметил заместитель гендиректора «Ред Софт» Рустам Рустамов: «Наши заказчики могут быть спокойны. Мы уже выпустили необходимое обновление безопасности».

Усилия разработчиков ОС по исследованию кода ядра Linux очень разрознены и не могут обеспечить гарантии отсутствия уязвимостей и ошибок в системе, признавал ранее заместитель гендиректора ГК Astra Linux Юрий Соснин. Сейчас в ГК Astra Linux сообщили “Ъ”, что завершают проверку по описанной уязвимости во всех релизах и для всех аппаратных платформ.

«По предварительным результатам испытаний для ОС Astra Linux Special Edition уязвимость неактуальна, если пользователи используют штатные средства защиты: повышения привилегий пользователя не происходит, так как срабатывают средства защиты замкнутой программной среды и другие собственные механизмы контроля целостности»,— пояснил Юрий Соснин.

Тем не менее, подтвердил он, факт недостатка в коде ядра и его «устранят в ближайших обновлениях».

Выявленная уязвимость демонстрирует один из важных недостатков систем с открытым исходным кодом, говорит руководитель отдела продвижения продуктов «Код безопасности» Павел Коростелев: «Кажется, что он доступен, и каждый может его проверить, но по факту мало кто этим занимается, поэтому уязвимость никто не замечал годами». Современные ОС — это миллионы строк кода, подчеркивает руководитель отдела разработки ИВК Дмитрий Державин: «Так получилось, что именно в этот кусочек никто до сих пор не заглядывал, и оправдания этой оплошности нет». Федеральная служба по техническому и экспортному контролю (ФСТЭК) для проверки безопасности ОС на базе ядра Linux еще год назад планировала создать специальный исследовательский центр, но судьба проекта неизвестна.

Юлия Степанова