Los investigadores de seguridad cibernética descubrieron el martes 14 vulnerabilidades críticas en BusyBox Linux que podrían explotarse para una denegación de servicio (DoS) y, en casos seleccionados, incluso conducir a la fuga de información y la ejecución remota de código.
Las vulnerabilidades de seguridad, que van desde CVE-2021-42373 hasta CVE-2021-42386, afectan a varias versiones de la herramienta desde la 1.16 a la 1.33.1, según un informe conjunto de DevOps JFrog y la empresa cibernética industrial Claroty.
BusyBox, apodada la «navaja suiza para Embedded Linux», es un paquete de software ampliamente utilizado que combina varias utilidades o applets comunes de Unix (p. ej., cp, ls, grep) en un solo archivo ejecutable que se puede ejecutar en sistemas Linux como como controladores lógicos programables (PLC), interfaz hombre-máquina (HMI) y unidades terminales remotas (RTU).
A continuación se muestra una lista rápida de las deficiencias y los applets a los que afectan:
- hombre – CVE-2021-42373
- lzma / unlzma – CVE-2021-42374
- ceniza – CVE-2021-42375
- calmarse – CVE-2021-42376, CVE-2021-42377
- awk – CVE-2021-42378, CVE-2021-42379, CVE-2021-42380, CVE-2021-42381, CVE-2021-42382, CVE-2021-42383, CVE-2041-42383, CVE-2041-42380 -2021 -42386
La explotación exitosa de las vulnerabilidades, que se activa al entregar datos no confiables a través de la línea de comandos a los subprogramas vulnerables, puede provocar la denegación de servicio, la divulgación no intencional de información confidencial y, potencialmente, la ejecución de código. Desde entonces, las vulnerabilidades se han resuelto en la versión 1.34.0 de BusyBox, que se lanzó el 19 de agosto después de una divulgación responsable.
“Estas nuevas vulnerabilidades que hemos identificado solo ocurren en casos específicos, pero pueden ser extremadamente problemáticas si se aprovechan”, dijo Shachar Menashe, director de seguridad de JFrog. «Extender BusyBox hace que este sea un problema con el que los equipos de seguridad tienen que lidiar. Como tal, recomendamos que las empresas actualicen su versión de BusyBox o se aseguren de que no están usando ninguno de los applets afectados».
