Resumen vulnerabilidades críticas – 15 elementos (07 may 2026 Europe/Madrid)

Vídeo de YouTube:
https://www.youtube.com/watch?v=xnnP5Nt0Mq8

Artículo

En este episodio resumiremos el análisis que realiza Coach de Osasco en su canal de YouTube en el que se aborda la nueva vulnerabilidad de seguridad en Linux, conocida como Copy Fail, que permite el acceso a nivel de "root" a atacantes en las principales distribuciones.

La vulnerabilidad, identificada como CVE-2026-31431, ha sido documentada a través de un exploit que permite la escalada de privilegios locales. Esta falla afecta a los kernels de Linux lanzados desde 2017, lo que subraya un riesgo de larga data.

Empresas de seguridad ofensiva han descubierto esta y otras vulnerabilidades ocultas, evidenciando que ningún sistema es infalible. Utilizan plataformas de pruebas de intrusión basadas en inteligencia artificial para identificar estas fallas.

La vulnerabilidad de Copy Fail permite a un atacante local, incluso sin privilegios, obtener permisos de "root" en el sistema. Este tipo de falla es una pieza clave en las llamadas "cadenas de ciberataque" que buscan la escalada de privilegios para controlar un sistema.

La Agencia de Ciberseguridad y Seguridad de Infraestructura de los Estados Unidos, CISA, ha incluido esta vulnerabilidad en su Catálogo de Vulnerabilidades Conocidas y Explotadas. Esto indica que está siendo utilizada activamente por ciberactores maliciosos.

La falla tiene su origen en una optimización "in-place" del subsistema criptográfico del kernel de Linux introducida en 2017. Esta optimización reutiliza un búfer de memoria, permitiendo una escritura controlada que puede comprometer el sistema.

Investigadores de seguridad han desarrollado y probado un exploit basado en Python, el cual es 100% confiable y permite acceso irrestricto en distribuciones como Ubuntu 24.04 LTS, Amazon Linux 2023, Red Hat Enterprise Linux 10.1 y SUSE 16, entre otras.

A pesar de que las correcciones para esta vulnerabilidad ya están disponibles en versiones actualizadas del kernel, aún existen sistemas vulnerables. Es crucial verificar y aplicar estas actualizaciones, especialmente si se utilizan versiones anteriores a las mencionadas.

La facilidad y amplitud de esta explotación, incluso con un script de solo 732 bytes, destaca la importancia de una gestión de parches proactiva y la implementación de contramedidas adecuadas para proteger los entornos.

En resumen, la vulnerabilidad de Copy Fail en el kernel de Linux es un recordatorio crítico de que la seguridad requiere atención constante y actualizaciones proactivas. Es fundamental aplicar los parches disponibles y mantener los sistemas al día para mitigar riesgos, ya que no existe una solución única para todas las amenazas.

Vídeo de YouTube:
https://www.youtube.com/watch?v=f-ihIk1Izpw

Artículo

En este episodio resumiremos el análisis que realiza Mazen en su canal de YouTube en el que se examinan diversas vulnerabilidades de seguridad relacionadas con la autenticación de dos factores, o 2FA, basándose en escenarios de la vida real y programas de recompensas por errores.

El primer caso presentado se centra en una falla de seguridad conocida como "sin límite de tasa" en el código PIN de la autenticación de dos factores. Esto permite un número ilimitado de intentos para adivinar un código PIN de seis dígitos.

El presentador explica la diferencia entre un código PIN de 2FA, que suele ser estático, y un código OTP, que es de un solo uso y se genera dinámicamente, por ejemplo, a través de correo electrónico. La vulnerabilidad se aplica a los códigos PIN estáticos.

Para demostrar el riesgo, se utiliza una herramienta de interceptación de tráfico para realizar un ataque de fuerza bruta. El atacante puede probar miles de combinaciones de PIN en poco tiempo, ya que el sistema no bloquea los intentos fallidos.

La demostración muestra cómo, tras múltiples intentos fallidos que devuelven un código de estado 401 y un mensaje de código inválido, un intento con el PIN correcto resulta en un código de estado 200 y una redirección exitosa a la cuenta. Esto confirma la falta de protección contra ataques de fuerza bruta.

El segundo escenario aborda una vulnerabilidad de manipulación de respuestas. En este caso, al iniciar sesión, la respuesta del servidor indica si se requiere 2FA. Interceptando esta respuesta, el atacante puede modificar el valor de "requires_2fa" de "true" a "false".

Esta manipulación client-side engaña al sistema, permitiendo el acceso a la cuenta sin necesidad de introducir el código 2FA. El fallo radica en que la validación de la sesión no se realiza de forma robusta en el lado del servidor.

Finalmente, se examina una tercera vulnerabilidad inusual que implica la manipulación de la URL. Si se eliminan ciertos parámetros identificadores del usuario en la URL de verificación de 2FA, el sistema aún concede acceso a la cuenta. Esto indica una infraestructura de backend especialmente débil.

Estas vulnerabilidades resaltan la necesidad crítica de implementar controles de seguridad robustos. Es fundamental que los sistemas de autenticación de dos factores no dependan únicamente de validaciones del lado del cliente y que se apliquen límites de tasa estrictos en todos los intentos de verificación. Además, la validación de los parámetros en las URLs y la correcta gestión del estado de la sesión en el servidor son esenciales para proteger la integridad de las cuentas de usuario.

Vídeo de YouTube:
https://www.youtube.com/watch?v=JHXWF-AoDRA

Artículo

En este episodio resumiremos el análisis que realiza Zawacki de Teclas Soberana en su canal de YouTube en el que se examina la crítica vulnerabilidad "Copy Fail" en el kernel de Linux. Esta vulnerabilidad, presente desde 2017, permite una escalada de privilegios debido a un error de lógica en un procedimiento de criptografía del kernel, transformando a un usuario normal en administrador con un simple script de menos de un kilobyte.

"Copy Fail" es considerada la mayor vulnerabilidad de Linux en mucho tiempo. Los investigadores de la empresa Theori la descubrieron, y se cree que fue con la ayuda de inteligencia artificial, aunque el investigador menciona haber tenido una intuición inicial basada en exploits anteriores como "Dirty Pipe" de 2022. Este fallo afecta a casi todas las distribuciones de Linux, excepto a las muy antiguas o a las más recientemente actualizadas.

El sitio web original que anunció la vulnerabilidad fue criticado por su lenguaje florido y de marketing, lo que llevó a que muchos no tomaran en serio la amenaza inicial. Además, ofrecía un método para probar la vulnerabilidad que implicaba ejecutar directamente el exploit en el propio equipo, una práctica que el presentador del video considera irresponsable y peligrosa.

Técnicamente, el fallo reside en el uso del socket AF_ALG, una API de criptografía expuesta a usuarios sin privilegios. Un error de lógica permite una escritura "fuera de los límites" en la memoria caché del kernel. Este error corrompe el programa 'su', responsable de la escalada de privilegios a superusuario, haciendo que no solicite contraseña al ejecutarse.

Para corregir esta vulnerabilidad, es fundamental actualizar el kernel de Linux a versiones parcheadas, como la 7.0 o posteriores, o versiones específicas de la línea 6. Si no es posible actualizar, se puede mitigar el riesgo impidiendo que el módulo 'algif_aead' se cargue en el kernel, o descargándolo si ya está presente. Además, si se ha ejecutado el exploit, es crucial vaciar las cachés del kernel.

La peligrosidad de "Copy Fail" radica en su inmediatez y portabilidad, funcionando en el 100% de los casos sin depender de condiciones anómalas. No deja rastros en el disco, dificultando su detección por herramientas de monitoreo o análisis forense. Esto implica que pudo haber sido explotado silenciosamente durante años.

Una de las implicaciones más graves es su capacidad para escalar privilegios desde contenedores (como Docker o Kubernetes) hasta el host. Un atacante podría explotar una vulnerabilidad menor en un plugin de WordPress dentro de un pod, obtener una shell de usuario de bajo privilegio y luego usar "Copy Fail" para convertirse en root en el host, extendiendo el ataque a otros pods y sistemas, pudiendo robar credenciales o desplegar ransomware.

Existen elementos extraños en torno a su divulgación: el sitio web de Ubuntu sufrió un ataque de denegación de servicio distribuido justo cuando la vulnerabilidad se hizo pública, lo que podría haber sido un intento de retrasar la mitigación. A pesar de que la corrección para el kernel fue implementada en marzo, algunas distribuciones tardaron hasta después de la divulgación pública para liberar sus propias actualizaciones. También es notable que la API de criptografía AF_ALG, siendo poco utilizada por la mayoría de los usuarios, esté activada por defecto, lo que ha generado especulaciones sobre posibles backdoors intencionados.

En resumen, la vulnerabilidad "Copy Fail" subraya la importancia crítica de mantener los sistemas Linux actualizados y de implementar buenas prácticas de seguridad. La prontitud en la aplicación de parches y la vigilancia constante son esenciales para proteger la infraestructura frente a exploits tan potentes y sigilosos como este, especialmente en un entorno donde los ataques a la cadena de suministro son cada vez más frecuentes.