De usuario común a root en segundos: vulnerabilidad crítica en Linux anula todas las protecciones

El investigador Nicolás Zubriski de Trend Research informó sobre un problema crítico en el componente ksmbd del núcleo de Linux, que permite a atacantes ejecutar de forma remota código arbitrario con los máximos privilegios del sistema. La vulnerabilidad recibió el identificador CVE-2025-38561 y afecta a todas las distribuciones que utilizan el servidor SMB integrado basado en ksmbd.

El fallo está relacionado con el tratamiento del campo Preauth_HashValue al establecer una sesión SMB2. Los desarrolladores cometieron un error en la sincronización de hilos: la ausencia de un bloqueo en el acceso a la memoria creó una condición de carrera, cuando varios procesos modificaban simultáneamente el mismo objeto. Como resultado se producía corrupción de memoria y alteración del flujo de ejecución, lo que permitía la ejecución de código arbitrario en el espacio del núcleo.

Para explotarla, el atacante necesita credenciales válidas; sin embargo, esto no reduce la gravedad del riesgo. Muchas organizaciones proporcionan acceso a los servicios SMB en redes internas y externas, por lo que las cuentas pueden ser robadas o reutilizadas. Un ataque exitoso otorga control total sobre el sistema, incluida la posibilidad de instalar de forma oculta código malicioso y dejar la infraestructura fuera de servicio.

La vulnerabilidad se comunicó de forma privada el 22 de julio de 2025, y la divulgación pública se realizó el 24 de septiembre después de la publicación de las recomendaciones coordinadas. El problema recibió una puntuación CVSS de 8,5, teniendo en cuenta el vector de red, el bajo nivel de privilegios requeridos y la ausencia de interacción del usuario.

La corrección ya se ha incluido en las versiones actuales del núcleo de Linux: se añadieron mecanismos de bloqueo correctos que evitan la condición de carrera al trabajar con Preauth_HashValue. Se recomienda a los administradores:

• identificar los nodos que usan versiones vulnerables del núcleo;
• instalar de inmediato las últimas actualizaciones de la rama stable o las suministradas por el distribuidor;
• reiniciar las máquinas para que las correcciones entren en vigor;
• revisar las reglas de acceso a los servicios SMB y, si es necesario, restringirlos mediante segmentación de la red.

Se destaca además que no existen soluciones temporales ni mitigaciones: la única forma de corregir el problema sigue siendo actualizar el núcleo. Los usuarios de distribuciones con soporte a largo plazo deben vigilar la salida de actualizaciones de seguridad de su proveedor.

Nicolás Zubriski ya ha recibido reconocimiento por la divulgación responsable de la vulnerabilidad, y la comunidad Linux subraya que la reacción oportuna de los administradores es crítica para la protección de entornos corporativos y servidores de almacenamiento.