Resumen
Se ha identificado una vulnerabilidad de severidad alta en la arquitectura del demonio de registro de eventos rsyslog, el sistema de logging por defecto en la mayoría de las distribuciones Linux. La falla radica en un saneamiento inadecuado e inadecuado control de permisos en los mecanismos de recepción de mensajes locales (sockets /dev/log o módulos de entrada como imuxsock/imfile).
Contenido
Un usuario local sin privilegios puede aprovechar este fallo para inyectar secuencias de escape, manipular estructuras de datos o sobrescribir secciones de los archivos de registro (/var/log/syslog, /var/log/auth.log, etc.). Esto compromete severamente la integridad del sistema de auditoría y dificulta la detección de actividades maliciosas en el equipo.
La vulnerabilidad se produce por un fallo de desbordamiento de búfer o parseo incorrecto en la gestión de registros con formato no estructurado o de longitud excesiva procesados por rsyslogd. Al enviar entradas de log especialmente diseñadas desde un proceso sin privilegios hacia el socket del sistema, el demonio procesa de manera defectuosa los metadatos de contexto (como la marca de tiempo, la prioridad facility/severity y el identificador de proceso PID). Esto permite al atacante falsificar identidades de otros servicios, truncar registros existentes, inyectar líneas arbitrarias en los archivos de log o provocar la corrupción del almacenamiento de eventos, evadiendo los controles de no repudio e integridad del sistema.
Sistemas Afectados
- Software: rsyslog (versiones no actualizadas de las ramas 8.x).
- Distribuciones:
- Debian GNU/Linux, Ubuntu, Kali Linux.
- Red Hat Enterprise Linux (RHEL), CentOS, Rocky Linux, AlmaLinux.
- SUSE Linux Enterprise Server (SLES) y openSUSE.
- Componentes Relacionados: Servicios o aplicaciones que dependan de rsyslog para la recolección, rotación o retransmisión de logs hacia un servidor centralizado (SIEM/Logstash/Wazuh).
Impacto
- Confidencialidad: Bajo (No expone directamente el contenido confidencial de archivos del sistema).
- Integridad: CRÍTICO.
- Inyección y alteración de evidencias en auditorías de seguridad y forense digital.
- Ocultamiento de huellas tras un acceso no autorizado o escalada de privilegios previa.
- Posible desactivación silenciosa del registro de eventos para actividades maliciosas futuras.
- Disponibilidad: Medio / Alto (Capacidad de saturar discos o forzar la caída del demonio rsyslogd generando una denegación de servicio en el logging).
Detalles Técnicos
- Tipo de Vulnerabilidad: Log Injection / Improper Input Validation / Local Privilege Side-Effect.
- Vector de Ataque: Local (Local access).
- Origen de Entrada: Sockets UNIX locales (/dev/log) o archivos monitoreados por el módulo imfile.
- Requisitos de Explotación: Cuenta de usuario local estándar (incluso con privilegios mínimos en la shell).
- Complejidad de Ataque: Baja a Media.
Mitigación y Acciones Recomendadas
1.Actualización Inmediata del Paquete rsyslog: Acción Principal.
Actualice la suite de rsyslog a la última versión parcheada disponible en los repositorios oficiales de su distribución Linux.
2.Reinicio y Verificación del Servicio: Requerido.
Reinicie el servicio rsyslog para asegurarse de que el binario parcheado esté en ejecución.
3.Aislamiento y Reenvío Centralizado de Logs: Control Compensatorio.
Configure rsyslog para enviar inmediatamente una copia firmada o cifrada de los eventos relevantes (vía TLS/RELP) a un servidor de logs centralizado o SIEM. De esta forma, aunque el log local sufra alteraciones, la copia remota conservará el registro inmutable.
4.Restringir Permisos de Archivos y Sockets: Endurecimiento.
Verifique que los permisos en la carpeta /var/log sigan el principio de menor privilegio (propiedad de root:adm o syslog) e impida que usuarios generales tengan permisos de escritura en directorios de registro.