Per quasi tre anni, milioni di server e dispositivi che eseguono Linux sono risultati vulnerabili, consentendo a qualsiasi malintenzionato di elevare i propri privilegi a “root”, l’utente che su una macchina Linux è in grado di compiere qualsiasi azione . Le principali distribuzioni Linux stanno già lavorando alla risoluzione di questo bug, più complesso è il rilascio di una patch per Android dato che vi sono grosse difficoltà nel rilasciare aggiornamenti da parte dei produttori data la frammentazione delle versioni del sistema operativo di Google installate sugli smartphone.

Il difetto, che è stato introdotto nel kernel di Linux in versione 3.8 rilasciata all’inizio del 2013, risiede nel cosiddetto OS keyring, una funzionalità che consente alle applicazioni di memorizzare le chiavi di crittografia, il token di autenticazione e altri dati sensibili per la sicurezza all’interno del kernel, pur rimanendo in una forma che non può essere letta da altre applicazioni.

La vulnerabilità è molto critica perché sfruttabile su tutti i dispositivi che eseguono il kernel Linux. Un utente malintenzionato su un server, un PC o su uno smartphone con installato Android KitKat (o superiori) può elevare i propri privilegi e ottenere accesso di root. L’utente root può gestire totalmente il sistema operativo, cancellando o spostando file, riavviando il dispositivo, inviando file all’esterno.

Questa vulnerabilità ha implicazioni per circa decine di milioni di PC e server Linux e il 66% di tutti i dispositivi Android – riportano i ricercatori di Perception Point – mentre né noi né il team di sicurezza del kernel abbiamo osservato alcun exploit sulla vulnerabilità, si consiglia di esaminare i dispositivi potenzialmente interessati e implementare le patch il più presto possibile.”