Múltiplas vulnerabilidades no AppArmor

A Qualys descobriu nove falhas críticas no AppArmor, não como um módulo isolado, mas como uma falha estrutural na forma como o kernel Linux expõe interfaces de controle de política via sysfs. O ponto mais perigoso é o 'confused-deputy': pseudo-arquivos como /sys/kernel/security/apparmor/.load são world-writable, mas a verificação de permissões acontece *após* a abertura do arquivo, ou seja, qualquer processo comum pode abrir o caminho e passar o descritor para um binário privilegiado (como su ou postfix), que então executa a operação em nome do atacante. Isso permite substituir, remover ou carregar perfis maliciosos sem root, e a Qualys já demonstrou escalada para root em menos de 4,5 segundos em Ubuntu 24.04 LTS corrigido, explorando combinações de 'use-after-free' e 'double-free'.

As outras quatro falhas técnicas confirmadas não são secundárias: uma leitura fora dos limites vaza 64 KB de memória do kernel com ponteiros reais, quebrando KASLR; outra recursão descontrolada pode travar o sistema sem necessidade de privilégios; e as duas de memória permitem não só escalada, mas também bypass completo de restrições de sandboxing. A gravidade aumenta porque o AppArmor está habilitado por padrão em Ubuntu, Debian e SUSE 15, e não há mitigação eficaz no espaço do usuário que substitua a atualização do kernel.

Essas vulnerabilidades não exigem engenharia social nem acesso remoto: bastam credenciais de usuário comum em um terminal, SSH ou até um shell dentro de um container com AppArmor ativado. Em ambientes corporativos com máquinas virtuais, Kubernetes ou desktops Ubuntu gerenciados centralmente, um único usuário comprometido pode desabilitar controles de segurança de toda a instância. Como o AppArmor é frequentemente usado como segunda camada após SELinux em sistemas híbridos, sua falha enfraquece defesas em profundidade, e o fato de ter permanecido desde 2017 (kernel 4.11) mostra que auditorias de superfície de ataque em interfaces sysfs ainda são negligenciadas.