Dirty COW (CVE-2016-5195)
¿Qué es Dirty COW (CVE-2016-5195)?
Dirty COW (CVE-2016-5195)Condición de carrera de 2016 en el kernel de Linux, en la gestión copy-on-write de mapeos de memoria, que permite a un usuario local convertirse en root al escribir en ficheros de solo lectura.
Dirty COW (CVE-2016-5195) es una condición de carrera en el subsistema de memoria del kernel de Linux que afectó a la mayoría de las versiones desde 2007 hasta 2016. El atacante hace competir repetidamente la lógica copy-on-write del kernel con una llamada madvise/MADV_DONTNEED, hasta que una escritura sobre un mapeo privado acaba modificando el fichero subyacente de solo lectura. Combinado con binarios suid escribibles o /etc/passwd, proporciona escalada local a root fiable. Afectó a servidores, escritorios, dispositivos embebidos y Android, y fue usado en ataques reales (incluido el malware Android ZNIU). Defensas: actualizar a un kernel con el parche (4.8.3, 4.7.9, 4.4.26 o el parche de la distribución posterior) y en Android al nivel de seguridad de noviembre de 2016.
● Ejemplos
- 01
Usuario local sobrescribiendo /etc/passwd para añadir una cuenta root mediante Dirty COW.
- 02
Malware Android ZNIU usando Dirty COW para rootear dispositivos e instalar una puerta trasera.
● Preguntas frecuentes
¿Qué es Dirty COW (CVE-2016-5195)?
Condición de carrera de 2016 en el kernel de Linux, en la gestión copy-on-write de mapeos de memoria, que permite a un usuario local convertirse en root al escribir en ficheros de solo lectura. Pertenece a la categoría de Vulnerabilidades en ciberseguridad.
¿Qué significa Dirty COW (CVE-2016-5195)?
Condición de carrera de 2016 en el kernel de Linux, en la gestión copy-on-write de mapeos de memoria, que permite a un usuario local convertirse en root al escribir en ficheros de solo lectura.
¿Cómo defenderse de Dirty COW (CVE-2016-5195)?
Las defensas contra Dirty COW (CVE-2016-5195) combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Dirty COW (CVE-2016-5195)?
Nombres alternativos comunes: CVE-2016-5195, Race COW de Linux.