Las erratas de OpenBSD 7.9 corrigen fallos del kernel que Calif encadenó en un exploit root local

La firma de seguridad Calif ha publicado una investigación que describe cómo obtuvo privilegios root en OpenBSD combinando dos fallos del kernel que el proyecto ya ha corregido. En un artículo de Andrew Griffiths fechado el 16 de octubre, la empresa afirmó que uno de los errores se remonta aproximadamente 37 años, a las fuentes BSD originales. Calif dijo que notificó las vulnerabilidades a OpenBSD con anterioridad este año, a menudo junto con propuestas de parches.

Según Calif, el fallo más antiguo afecta a un contador que registra las conexiones a memoria compartida y que estaba definido como un valor con signo de 16-bit, susceptible de desbordarse. La firma explicó que este desbordamiento podía provocar un use-after-free mediante una condición de carrera y, junto con una escritura fuera de límites independiente en el kernel, permitía a un usuario local escalar hasta root. Calif afirmó que el ataque funcionaba con el reenlazado del kernel KARL de OpenBSD y las protecciones de procesador SMAP y SMEP activadas, y que no requería ningún fallo de divulgación de información. El artículo también enlaza a código y a una prueba de concepto.

Calif indicó que los problemas se corrigieron en las erratas 018 y 026 de OpenBSD. En la página de erratas de OpenBSD 7.9, la 018 está fechada el 14 de septiembre de 2026 y figura como una corrección de fiabilidad que evita un desbordamiento de entero en shmat. La errata 026, fechada el 30 de septiembre de 2026, figura como una corrección de seguridad para un error de conteo de referencias que podía provocar una condición de use-after-free en el kernel. Ambas entradas se aplican a todas las arquitecturas. Calif señala ambas erratas como las correcciones de los problemas de su cadena, por lo que una de las dos lleva una etiqueta de fiabilidad en lugar de una de seguridad.

La página de erratas indica que los parches se distribuyen como diffs unificados firmados y que la utilidad syspatch puede instalar actualizaciones binarias en amd64, i386 y arm64. Las correcciones para las versiones con soporte también se incorporan a la rama -stable, que el proyecto mantiene durante un año tras cada versión. Calif describe el exploit como una escalada de privilegios local, lo que significa que un atacante necesitaría primero acceso al sistema.

Más allá de las erratas, Calif expuso varias ideas de endurecimiento destinadas a dificultar vías de ataque similares. Entre ellas figuran comprobaciones de integridad antes de eliminar entradas de listas doblemente enlazadas, que según la firma FreeBSD y NetBSD ya implementan, y una mayor aleatorización de la memoria del kernel, ya que Calif afirmó que los asignadores del kernel de OpenBSD siguen siendo deterministas aunque KARL aleatoriza la disposición del binario del kernel. La firma también mencionó funciones del compilador como el array bounds sanitizer y los próximos Alloc Tokens. Calif dijo que había sugerido el sanitizer a FreeBSD y que allí había notificado de forma privada 21 problemas que este habría detectado, argumentando que mitigar clases enteras de errores cobra más importancia a medida que la IA ayuda a descubrir vulnerabilidades.