		*Últimos Cambios*
	Blog personal: El hilo del laberinto

La vulnerabilidad "locale" no afecta solo a sistemas LINUX

Última Actualización: 30 de Octubre de 2.000 - Lunes

Artículo publicado en el boletín Una-Al-Día de Hispasec, el 25 de Septiembre de 2.000.

La vulnerabilidad "locale" no afecta sólo a sistemas Linux; se ha comprobado que supone un problema de seguridad para la mayoría de los Unix e, incluso, para varias librerías de ejecución del mundo Windows.

El pasado 16 de Septiembre Hispasec publicó un aviso de seguridad referente a la librería GLIBC. Entre los problemas reseñados, se indican fallos de programación en las rutinas de gestión de mensajes internacionales ya que, por un lado, permiten que un usuario especifique cualquier biblioteca de mensajes al ejecutar procesos SETUID y, por otro lado, permite que se inserten en dicha biblioteca secuencias de escape que permiten la ejecución de código arbitrario. Combinando estos dos hechos, se consigue que un usuario pueda ejecutar código arbitrario como "root" sin más que indicar una biblioteca de traducción especialmente manipulada, a la hora de invocar un proceso SETUID.

En el boletín se hacía referencia a la librería GLIBC (la librería estándar C producida por el proyecto GNU). No se mencionaba en ningún momento otras variedades de Unix, o Windows. Éste fue un movimiento intencional, a la espera de los parches de los diferentes fabricantes, ya que se trata de un problema *EXTREMADAMENTE* difundido, y que parece afectar también al mundo Windows.

Tras varias semanas de conocimiento público del problema, la mayoría de los fabricantes todavía no han publicado una solución al problema, lo cual consideramos grave.

En concreto, el problema afecta, al menos, a los siguientes sistemas: