Google: 350.000 dollari di premio a chi ha scoperto due gravi vulnerabilità Linux

Il programma di ricompense messo in atto da Google ha elargito quasi 350.000 dollari in totale per la scoperta di due gravi vulnerabilità di alto livello presenti in Linux, la più grave delle quali permetteva alle macchine virtuali la possibilità di evadere dal proprio ambiente protetto, per ottenere i privilegi di root sulla macchina fisica ospitante.

Questa, la più grave delle due, è identificata dalla sigla CVE-2026-53359 ed è stata ribattezzata Januscape. L'aspetto più interessenta riguarda il fatto che sia riuscita ad eludere il controllo di moltissimi esperti del settore per ben 16 anni, dal momento che è presente da così tanto tempo all'interno di KVM. Si tratta di una vulnerabilità di tipo use-after-free, una forma di corruzione della memoria che consente l'iniezione di codice dannoso in aree di memoria liberate di recente, localizzata nello specifico nel processo di emulazione della shadow MMU, deputato alla traduzione degli indirizzi di memoria tra l'host e l'hypervisor.

Per poterla sfruttare è sufficiente eseguire delle azioni specifiche lato guest e risulta particolarmente problematica in quanto può essere applicata anche ad ambienti cloud, ma in questo caso è necessario che siano già stati ottenuti i diritti di root. Per Januscape, Google ha riconosciuto una ricompensa di 250.000 dollari.

CLICCA QUI PER CONTINUARE A LEGGERE