Una vulnerabilità che permette di ottenere privilegi di root aleggia sul sistema operativo Linux, e più precisamente su Ubuntu. Si tratta della più grave tra le diverse falle software interne alla funzione snap-configure appena scoperte e rivelate da Qualys. Vulnerabilità che fanno tornare attuale la discussione sulla sicurezza di Linux, a tre anni di distanza dal caso di “Dirty Sock”, un bug che consentiva l’escalation di privilegi a chi realizzasse un hackeraggio da locale, non quindi tramite accesso remoto. Anche in quel caso, l’intrusore poteva arrivare a detenere privilegi di root.
In seguito alla scoperta, la vulnerabilità era stata risolta modificando la linea di codice incriminata, ma ciononostante a distanza di tre anni il team di ricerca di Qualys è riuscito a confezionare un exploit che ha permesso passare attraverso tutte le protezioni e ottenere privilegi di root completi su installazioni predefinite di Ubuntu. “Non appena il team di ricerca Qualys ha confermato la vulnerabilità, ci siamo impegnati nella divulgazione responsabile della vulnerabilità e ci siamo coordinati sia con il fornitore che con le distribuzioni open-source per annunciare questa nuova vulnerabilità scoperta”, fa sapere l'ufficio stampa di Qualys.
La nuova vulnerabilità è stata battezzata Oh Snap! (il codice identificativo è invece CVE-2021- 44731) e il punto esclamativo è d’obbligo, considerando il significato di questa colorita espressione in slang. Come intuibile dal nome, riguarda snap, ovvero un sistema di packaging e distribuzione del software sviluppato da Canonical per i sistemi operativi che utilizzano il kernel Linux. Più precisamente, gli snap sono i pacchetti che racchiudono le applicazioni, mentre lo snapd è lo strumento che consente di usarli. Lo Snap-confine è un programma usato internamente da snapd per costruire l'ambiente di esecuzione per le applicazioni snap.
Data la diffusione del sistema operativo Ubuntu, e dunque data l’ampiezza della superficie di attacco potenziale (oltre 40 milioni di utenti), Qualys raccomanda agli utenti di applicare immediatamente le patch disponibili per la vulnerabilità CVE-2021- 44731. L’azienda ha anche pubblicato una descrizione con dettagli tecnici su Oh snap! e alcune indicazioni su come verificare l’eventuale presenza della vulnerabilità.