Uma falha de segurança massiva, apelidada de "CrackArmor", foi descoberta no AppArmor, um framework amplamente utilizado de controle de acesso obrigatório para Linux. As nove vulnerabilidades críticas permitem que usuários locais não privilegiados escalem privilégios para root, quebrem isolamento de contêineres e causem falhas nas operações do kernel. O problema afeta mais de 12,6 milhões de sistemas Linux empresariais em todo o mundo.
Descoberta e escopo
As vulnerabilidades do CrackArmor rastreiam suas origens ao kernel Linux versão 4.11, lançado em 2017, e permaneceram indetectadas em ambientes de produção por quase nove anos. Descobertas pela Unidade de Pesquisa de Ameaças da Qualys (TRU) e divulgadas publicamente em 12 de março de 2026, as falhas residem na implementação do AppArmor como um Linux Security Module (LSM), não em seu modelo de segurança subjacente.
O AppArmor faz parte do kernel Linux principal desde a versão 2.6.36 e é habilitado por padrão no Ubuntu, Debian e SUSE, tornando sua superfície de ataque excepcionalmente ampla em data centers empresariais, clusters Kubernetes, implantações de IoT e plataformas de nuvem.
Vetor e exploração
No núcleo do CrackArmor está uma vulnerabilidade de "deputado confuso", uma classe de falha onde um ator não privilegiado engana um processo privilegiado para realizar ações não autorizadas em seu nome. Os atacantes exploram isso escrevendo nos pseudo-arquivos do AppArmor localizados em /sys/kernel/security/apparmor/.load, .replace e .remove, usando ferramentas de sistema confiáveis como Sudo e Postfix como proxies involuntários.
Porque essas ferramentas operam com privilégios elevados, elas contornam as restrições de namespace de usuário que normalmente bloqueariam o acesso direto do atacante, permitindo a execução arbitrária de código dentro do próprio kernel.
Impacto e alcance
As cadeias de ataque habilitadas pelo CrackArmor são variadas e severas:
- Contorno de Política: Usuários não privilegiados podem silenciosamente remover proteções para daemons críticos do sistema como rsyslogd e cupsd, ou carregar perfis deny-all para o sshd para bloquear todo o acesso SSH.
- Escalação de Privilégios Local (LPE) para Root (User-space): Ao carregar um perfil que remove CAP_SETUID do sudo e manipular a variável de ambiente MAIL_CONFIG, um atacante força o sudo a invocar o binário sendmail do Postfix como root, gerando um shell root completo.
- LPE no Espaço do Kernel: Explorando uma vulnerabilidade use-after-free na função
aa_loaddata, os atacantes podem realocar memória do kernel liberada como uma tabela de páginas que mapeia/etc/passwd, sobrescrevendo diretamente a entrada de senha root e ganhando acesso root viasu. - Escape de Contêiner e Namespace: Ao carregar um perfil "userns" que visa
/usr/bin/time, usuários não privilegiados podem criar namespaces de usuário totalmente capazes, minando as mitigações de restrição de namespace anteriormente implantadas pelo Ubuntu. - Recusa de Serviço via Esgotamento de Pilha: Perfis com subperfis profundamente aninhados (até 1.024 níveis) podem esgotar a pilha de 16 KB do kernel durante a remoção recursiva, acionando um kernel panic e reinicialização forçada do sistema.
- Contorno do KASLR: Leituras fora dos limites dentro da análise de perfil vazam endereços de memória do kernel, derrotando a Randomização de Layout de Espaço de Endereçamento do Kernel e abrindo caminho para cadeias de exploração adicionais.
Recomendações de Segurança
As equipes de segurança não devem permitir que a ausência de um número CVE atrase a resposta de remediação. As organizações que executam sistemas Linux habilitados para AppArmor devem tomar as seguintes ações sem demora:
- Aplicar todos os patches de segurança de kernel e AppArmor disponíveis dos fornecedores para Ubuntu, Debian, SUSE e suas derivações imediatamente.
- Implantar o Qualys QID 386714 para escanear todos os endpoints Linux em busca de versões afetadas do AppArmor e priorizar ativos voltados para a internet.
- Monitorar
/sys/kernel/security/apparmor/em busca de alterações inesperadas de perfil, que podem sinalizar exploração ativa. - Usar consultas de gerenciamento de ativos de cibersegurança da Qualys para enumerar todos os ativos Ubuntu, Debian e SUSE com AppArmor instalado em ambientes on-premises e de nuvem.
A Qualys confirmou que seus próprios produtos e plataformas não são afetados pelas vulnerabilidades do CrackArmor.