Looney Tunables (CVE-2023-4911).

Desbordamiento de buffer en el cargador dinamico de glibc, disparado por la variable GLIBC_TUNABLES, que otorga root local en numerosas distribuciones Linux. Pertenece a la categoría de Vulnerabilidades en ciberseguridad.

Desbordamiento de buffer en el cargador dinamico de glibc, disparado por la variable GLIBC_TUNABLES, que otorga root local en numerosas distribuciones Linux.

Looney Tunables es una vulnerabilidad en el cargador dinamico ld.so de la biblioteca GNU C (glibc) divulgada por Qualys en octubre de 2023 y registrada como CVE-2023-4911. Se trata de un desbordamiento de buffer al analizar la variable de entorno GLIBC_TUNABLES, introducida en glibc 2.34. Dado que ld.so se ejecuta con privilegios elevados al lanzar binarios SUID, un atacante local sin privilegios puede crear un valor malicioso de GLIBC_TUNABLES, ejecutar cualquier programa SUID (por ejemplo su) y obtener root. Estan afectadas instalaciones por defecto de Fedora 37/38, Ubuntu 22.04/23.04 y Debian 12 y 13. La mitigacion es actualizar glibc a una version parcheada.

Las defensas contra Looney Tunables (CVE-2023-4911) combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: CVE-2023-4911, Desbordamiento GLIBC_TUNABLES.