Agentes de Google Cloud vulnerables a escalada de privilegios mediante fallo en Punycode
Una vulnerabilidad en el Agente Invitado de Google y el Agente de Configuración del SO podría permitir a atacantes eludir restricciones basadas en nombres de host. El fallo se deriva del manejo incorrecto de nombres de dominio internacionalizados.
Resumen
- Los agentes de Google Cloud contienen una vulnerabilidad en el análisis de Punycode en el paquete Go x/net/idna
- Atacantes podrían explotarla para sortear controles de acceso basados en nombres de host
- La explotación exitosa puede derivar en escalada de privilegios en sistemas afectados
- Ubuntu ha lanzado actualizaciones de seguridad para resolver este problema
- Las organizaciones que usan agentes de Google Cloud deben aplicar los parches de inmediato
Investigadores de seguridad han identificado una vulnerabilidad significativa en el Agente Invitado de Google y el Agente de Configuración del Sistema Operativo que podría permitir a atacantes remotos escalar privilegios. El problema radica en cómo estos agentes procesan los nombres de dominio internacionalizados, específicamente en su tratamiento de etiquetas codificadas en Punycode.
Esta vulnerabilidad representa un riesgo serio para la seguridad de infraestructuras en la nube, ya que podría permitir a atacantes sortear controles de acceso críticos basados en nombres de host. Las organizaciones que dependen de los servicios de computación en la nube de Google deben tomar medidas inmediatas para cerrar esta brecha de seguridad.
El hallazgo resalta la importancia de validar adecuadamente los nombres de dominio internacionalizados en componentes de infraestructura en la nube, donde incluso errores aparentemente menores de análisis pueden tener implicaciones de seguridad importantes.
Detalles técnicos
- La vulnerabilidad existe en el paquete Go x/net/idna incluido en los agentes de Google
- Etiquetas codificadas en Punycode que se decodifican como etiquetas exclusivamente ASCII son aceptadas incorrectamente durante el procesamiento de IDN
- Esta validación incorrecta permite a atacantes crear nombres de dominio que evaden los mecanismos de verificación de nombres de host
- El problema afecta tanto al Agente Invitado de Google como al Agente de Configuración del SO de Google ejecutándose en sistemas Ubuntu
Impacto en la seguridad
- Atacantes remotos podrían sortear controles de acceso basados en nombres de host
- Una explotación exitosa podría conducir a una escalada de privilegios en sistemas afectados
- Entornos en la nube que utilicen estos agentes pueden ser vulnerables a accesos no autorizados
- La vulnerabilidad podría comprometer la integridad de las medidas de seguridad de la infraestructura en la nube
Pasos de corrección
- Ubuntu ha publicado actualizaciones de seguridad (USN-8914-1) para abordar esta vulnerabilidad
- Los administradores de sistemas deben actualizar inmediatamente los paquetes del Agente Invitado de Google y del Agente de Configuración del SO
- Revisar y monitorear registros de infraestructura en la nube en busca de actividades sospechosas relacionadas con dominios
- Verificar que los controles de acceso basados en nombres de host funcionen correctamente tras aplicar los parches
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.