Vulnerabilidade 'Big Fish' no OpenBSD expõe falha de 37 anos no kernel

A vulnerabilidade 'Big Fish' no OpenBSD, identificada pelos pesquisadores da Calif, escancara uma falha de design com 37 anos que jazia no kernel do sistema operacional. O cerne do problema é um contador de anexo de memória compartilhada (shm_nattch) definido como um inteiro de 16 bits. Isso permitia que, ao criar e encerrar múltiplos processos que usam memória compartilhada, o contador extrapolasse seu valor máximo (32.767) e fizesse um wrap-around para um número negativo. Esse estouro de inteiro, combinado com uma condição de corrida e uma escrita fora dos limites (out-of-bounds write), levava a uma falha tipo use-after-free, resultando numa primitiva write-what-where capaz de injetar código e escalar privilégios localmente para root.

O exploit 'Big Fish' é notável por sua capacidade de contornar proteções avançadas do OpenBSD, como KARL (Kernel Address Space Layout Randomization), SMAP (Supervisor Mode Access Prevention) e SMEP (Supervisor Mode Execution Prevention). Os atacantes mapeiam segmentos de memória compartilhada, manipulam processos e utilizam alocações específicas de sockets IP para forçar a escrita em posições de memória controladas. Eles exploram a previsibilidade dos alocadores de memória do kernel, mesmo com o KARL ativo, para mirar ponteiros específicos, como os handlers ioctl de interfaces de rede. Esta complexidade de execução demonstra um nível de sofisticação que exige uma resposta robusta em defesa.

A descoberta da 'Big Fish' no OpenBSD segue uma tendência preocupante de vulnerabilidades antigas sendo reveladas em softwares críticos. O CEVIU News noticiou, em 10 de agosto de 2026, a falha 'SCTPhantom', um use-after-free de 18 anos no kernel Linux. Também, em 19 de junho de 2026, reportamos outra falha de 27 anos no próprio OpenBSD. O que mudou é a sofisticação na exploração e a crescente menção sobre a IA no processo.

A Calif, que encontrou a 'Big Fish', destacou a importância de mitigar classes inteiras de vulnerabilidades na 'era da descoberta de falhas assistida por IA'. Essa visão alinha-se com matérias anteriores do CEVIU, como a de 1º de abril de 2026, onde a IA Claude descobriu uma RCE no kernel FreeBSD, ou a de 30 de julho de 2026, sobre uma falha zero-day no kernel Linux achada com IA. O que antes era uma ameaça teórica, agora vemos a IA como um vetor real que acelera a identificação e até o desenvolvimento de exploits para bugs que estavam adormecidos por décadas.

Esta vulnerabilidade importa porque atinge um sistema operacional (OpenBSD) conhecido por seu foco rigoroso em segurança. A capacidade de um exploit local escalar privilégios para root, mesmo com as proteções avançadas de kernel (KARL, SMAP, SMEP) ativadas, é um alerta. Isso mostra que nenhuma plataforma está imune a falhas de design de longa data. Empresas e organizações que dependem do OpenBSD para infraestruturas críticas precisam entender que a robustez não elimina a necessidade de gestão contínua de vulnerabilidades e aplicação de patches.

A resiliência de um sistema não está apenas nas suas defesas atuais, mas também na capacidade de evoluir. O caso 'Big Fish' reforça a importância de auditorias de código mais profundas e da implementação de novas mitigações proativas para neutralizar classes inteiras de exploração, como a randomização da alocação de memória e o uso de recursos de compilador como o array bounds sanitizer. Ignorar esses vetores aumenta o custo de ataque para adversários, um investimento defensivo essencial num cenário de ameaças cada vez mais sofisticado.