RealRisk calcula el riesgo inherente: severidad, probabilidad de explotación
y si hay explotación confirmada, sin conocer tu entorno. Para saber si te afecta de verdad, usa
el verificador cuando esté disponible. El riesgo residual, con tu exposición y
tus controles, lo determinas tú.
| Recomendación |
🟠 Parchado esta semana
Probabilidad de explotación en 30 días: 93.2% (EPSS). Alto riesgo activo.
|
| Severidad de riesgo |
Alta (QDS 88/100)
Alta probabilidad de explotación (EPSS 93.2%): riesgo elevado.
|
| Severidad inherente |
Alta (del CVSS base) |
| CVSS |
8.8 (versión 3.1, Alta)
|
| Probabilidad de explotación (30 días) |
93.23%
|
| ¿Explotación activa confirmada? |
Sin evidencia confirmada
|
🛡 Verificador disponible
nivel 1 · pasivo
Lee la versión del kernel (uname) con conciencia de backports: en kernel de distribución devuelve NO_CONCLUYENTE con puntero al aviso de la distro; en mainline vanilla compara contra los puntos de corrección publicados.
Estado de la amenaza
análisis
Sin evidencia pública de explotación activa a la fecha; ya corregida en la rama estable del kernel. El riesgo es mayor en sistemas que usan IPsec con ESP encapsulado en UDP.
Impacto de la explotación
La condición puede provocar corrupción de memoria del kernel al procesar tráfico ESP, con potencial de escalada de privilegios local o desestabilización del sistema. La ruta más realista es un atacante con acceso local o un proceso capaz de manipular sockets.
Análisis de la vulnerabilidad
| Requisitos de explotación |
El sistema debe usar IPsec con ESP encapsulado en UDP y recibir tráfico que atraviese la ruta afectada. La explotación práctica requiere condiciones específicas en el manejo de páginas compartidas del socket. |
| Sistemas y software afectados |
Kernel de Linux desde la versión 4.11, corregido en distintos puntos de cada rama estable (por ejemplo 5.10.255, 5.15.206, 6.1.172, 6.6.138 y posteriores). Las distribuciones incorporan la corrección mediante backports en su propio versionado. |
| Cómo funciona el ataque |
Al adjuntar páginas provenientes de un pipe a un socket UDP, el kernel no marcaba esos fragmentos como compartidos. La ruta de entrada de ESP tomaba entonces un atajo que descifra en el mismo lugar sobre datos que no pertenecían de forma privada al socket, corrompiendo memoria. |
| Información de parchado |
La corrección forma parte de la rama estable del kernel de Linux. La recomendación es actualizar el kernel a la versión provista por la distribución que incluya la solución de este identificador. |
Detalles técnicos
Inteligencia de amenaza
| Actores / campañas atribuidas |
Sin campañas atribuidas conocidas. |
| Indicadores de compromiso (IOCs) |
Sin IOCs públicos conocidos. |
Referencias técnicas
- git.kernel.org https://git.kernel.org/stable/c/50ed1e7873100f77abad20fd31c51029bc49cd03
- git.kernel.org https://git.kernel.org/stable/c/52646cbd00e765a6db9c3afe9535f26218276034
- git.kernel.org https://git.kernel.org/stable/c/5d55c7336f8032d434adcc5fab987ccc93a44aec
- git.kernel.org https://git.kernel.org/stable/c/71a1d9d985d26716f74d21f18ee8cac821b06e97
- git.kernel.org https://git.kernel.org/stable/c/8253aab4659ca16116b522203c2a6b18dccacea7
- git.kernel.org https://git.kernel.org/stable/c/a6cb440f274a22456ef3e86b457344f1678f38f9
- git.kernel.org https://git.kernel.org/stable/c/ab8b995323e5237041472d07e5055f5f7dcdf15b
- git.kernel.org https://git.kernel.org/stable/c/b54edf1e9a3fd3491bdcb82a21f8d21315271e0d