OpenBSD 8.0 acaba de salir y ya necesita parches: hallan una vulnerabilidad crítica en el núcleo

Incluso OpenBSD, conocido por su enfoque estricto de seguridad, necesitó parches el día de un gran lanzamiento. El 20 de octubre los desarrolladores presentaron OpenBSD 8.0 y ese mismo día publicaron cuatro correcciones para el nuevo sistema. El sexagésimo primer lanzamiento aportó mecanismos de protección actualizados, soporte para máquinas virtuales más potentes, nuevas capacidades de red y una nueva versión de OpenSSH.

La corrección más preocupante afecta a IPsec con el algoritmo AES-GMAC. El error podía provocar un desbordamiento de la memoria del núcleo en un ataque remoto contra ciertas configuraciones de hardware. Estaban en riesgo las plataformas amd64 con AES-NI y octeon con coprocesador criptográfico. La implementación de AES-GCM, según el aviso de los desarrolladores, no resultó afectada.

La lista de las primeras correcciones también incluyó errores del servidor DNS NSD, problemas del controlador de video con riesgo de acceso a memoria liberada y un desbordamiento de búfer en el subsistema PPP. La página de erratas enumera tres actualizaciones de seguridad y una de fiabilidad publicadas el primer día. Para las arquitecturas más comunes están disponibles parches binarios a través de syspatch.

En OpenBSD 8.0 reforzaron los servicios de red. En cada arranque el sistema recompone aleatoriamente los ejecutables del servidor web httpd y del servidor de correo smtpd, dificultando los ataques que se basan en direcciones fijas. httpd bloquea las solicitudes HTTP con indicaciones conflictivas sobre la longitud del cuerpo. También modificaron el código de smtpd para reducir el número de falsos mensajes de error procedentes de escáneres basados en modelos de lenguaje.

La versión incluye OpenSSH 10.6. Los desarrolladores desactivaron la compresión por diccionario LZ77 en el cliente SSH debido a una posible fuga por canal lateral y corrigieron la aplicación de las restricciones ChannelTimeout y RekeyLimit en el servidor. Se añadió soporte experimental para la firma postcuántica compuesta ML-DSA con Ed25519. También endurecieron las comprobaciones de claves y el tratamiento de datos antes del inicio de sesión del usuario.

También revisaron la protección de otros componentes. El servidor DHCP dejó de aceptar ciertos datos incorrectos que podían causar fallos o agotamiento de la memoria. El archivador pax ya no debe extraer archivos fuera del directorio de trabajo. En el contexto del lanzamiento sigue vigente la historia del exploit Big Fish, que utilizó una cadena de errores antiguos del núcleo para obtener root de forma local.

Crecieron las capacidades del sistema de virtualización. El componente integrado vmd ahora soporta hasta 64 procesadores virtuales en una sola máquina invitada. En amd64 el espacio de direcciones virtuales del núcleo se amplió de 4 a 512 GB, y el mapeo directo de la memoria física se colocó en una dirección aleatoria. En comparación con OpenBSD 7.9, se ampliaron las capacidades de virtualización y el soporte para hardware moderno.

Para arm64 añadieron hibernación, para RISC-V soporte de instrucciones vectoriales y de nuevos mecanismos de interrupciones. El stack gráfico se actualizó al nivel Linux 6.18.53, incluyendo soporte para las tarjetas gráficas Intel Arc A-Series. En LibreSSL 4.4.0 el grupo preferido para TLS 1.3 pasó a ser el híbrido X25519MLKEM768. El lanzamiento está disponible en los espejos oficiales, y se publicó una guía para actualizar desde la 7.9.