Resumen
Se ha identificado una vulnerabilidad crítica que afecta al Kernel de Linux, específicamente dentro del subsistema nf_tables (el motor de filtrado de paquetes que sustituye a iptables). El fallo permite a un atacante local o remoto con acceso a la red provocar una Denegación de Servicio (DoS) o, en escenarios más graves, lograr una Escalada de Privilegios para obtener control total (root) sobre el sistema.
Contenido
Es una vulnerabilidad de uso de memoria después de liberarla (Use-After-Free o UAF) en el subsistema de cortafuegos nf_tables, que permite a un usuario local sin privilegios escalar a root y potencialmente escapar de contenedores.
SISTEMAS AFECTADOS
Esta alerta es de máxima prioridad para la infraestructura de la Administración Pública que utiliza distribuciones basadas en Software Libre, incluyendo:
Servidores con Debian, Ubuntu, Red Hat Enterprise Linux (RHEL) y derivados.
Dispositivos de red (firewalls, routers y balanceadores de carga) que utilicen kernels de Linux recientes.
Nodos de clústeres de Kubernetes/Docker que gestionen reglas de red mediante nf_tables.
IMPACTO
Interrupción de Servicios Ciudadanos: El fallo DoS puede dejar inoperativos servidores web o bases de datos institucionales mediante el colapso del kernel.
Compromiso de Datos: Un usuario con pocos privilegios (o un atacante que haya ganado acceso inicial) podría elevar sus permisos a nivel de administrador, permitiéndole extraer, modificar o borrar información sensible.
ACCIONES DE MITIGACIÓN
Actualización del Kernel:
Ejecutar la actualización de repositorios oficial de su distribución:
Debian/Ubuntu: sudo apt update && sudo apt upgrade linux-image-generic
RHEL/CentOS: sudo dnf update kernel
Nota: Es obligatorio reiniciar el sistema tras la actualización para que el nuevo kernel entre en funcionamiento.
Mitigación Temporal (Workaround):
Si no es posible reiniciar el servidor de inmediato, se recomienda restringir el acceso a los espacios de nombres de usuario (User Namespaces), que a menudo son necesarios para explotar este fallo:
sysctl -w kernel.unprivileged_userns_clone=0
Auditoría de Reglas:
Revisar configuraciones de firewall y registros de sistema en busca de comportamientos anómalos o intentos de inyección de reglas de red inusuales.