Millones de sistemas Linux y Unix se han visto expuestos a graves riesgos de seguridad debido a la aparición de dos vulnerabilidades en Sudo, una herramienta fundamental que permite a usuarios ejecutar comandos con permisos elevados de manera controlada. Estas fallas, identificadas como CVE-2025-32462 y CVE-2025-32463, han sido analizadas y reportadas recientemente por expertos en ciberseguridad, alertando sobre su impacto y la urgencia de aplicar parches.

El descubrimiento ha puesto en alerta a administradores de sistemas y empresas, ya que Sudo está presente de forma predeterminada en la mayoría de distribuciones GNU/Linux y sistemas similares, como macOS. Ambos errores permiten la escalada de privilegios desde cuentas sin permisos administrativos, comprometiendo la integridad de los equipos afectados.

¿Qué es Sudo y por qué es tan importante?

Sudo es una utilidad imprescindible en entornos Unix, utilizada para ejecutar tareas administrativas sin necesidad de iniciar sesión como root. Esta herramienta ofrece control detallado sobre qué usuarios pueden ejecutar determinadas órdenes, ayudando a mantener el principio de menor privilegio y registrando todas las acciones para su auditoría.

La configuración de Sudo se gestiona desde el archivo /etc/sudoers, permitiendo definir reglas específicas según usuario, comando u host, una práctica común para reforzar la seguridad en grandes infraestructuras.

Detalles Técnicos de las Vulnerabilidades de Sudo

CVE-2025-32462: fallo en la opción host

Esta vulnerabilidad llevaba más de una década camuflada en el código de Sudo, afectando a versiones estables desde la 1.9.0 hasta la 1.9.17 y a versiones legacy desde la 1.8.8 hasta la 1.8.32. Su origen radica en la opción -h o --host, que inicialmente debería limitarse a listar privilegios para otros equipos pero, debido a un fallo de control, puede utilizarse para ejecutar comandos o editar ficheros como root en el propio sistema.

El vector de ataque aprovecha configuraciones específicas en las que se restringen las reglas de Sudo a determinados hosts o patrones de hostname. Así, un usuario local puede engañar al sistema simulando que ejecuta órdenes en otro host permitido y conseguir acceso root sin precisar un exploit complejo.

La explotación de este bug resulta especialmente preocupante en entornos empresariales, donde las directivas Host o Host_Alias son habituales para segmentar accesos. No requiere código de explotación adicional, basta con invocar Sudo con la opción -h y un host permitido para eludir restricciones.

CVE-2025-32463: abuso de la función chroot

En el caso de CVE-2025-32463, la gravedad es mayor: un fallo introducido en la versión 1.9.14 del año 2023 en la función chroot permite a cualquier usuario local ejecutar código arbitrario desde rutas bajo su control, consiguiendo privilegios de administrador.

El ataque se basa en la manipulación del sistema Name Service Switch (NSS). Al ejecutar Sudo con la opción -R (chroot) y establecer como raíz un directorio que controla el atacante, Sudo carga configuraciones y bibliotecas desde este entorno manipulado. Un atacante puede forzar la carga de una biblioteca compartida maliciosa (por ejemplo, a través de /etc/nsswitch.conf falso y una librería preparada en la raíz del chroot) para obtener una shell de root en el sistema. La existencia de este fallo ha sido confirmada en diferentes distribuciones, por lo que es recomendable mantenerse informado con las últimas actualizaciones.

La sencillez de esta técnica ha sido verificada en escenarios reales, usando únicamente un compilador de C para crear la biblioteca y lanzando el comando adecuado con Sudo. No se requiere sofisticación técnica ni explotar configuraciones rebuscadas.

Estas dos vulnerabilidades han sido comprobadas en versiones recientes de Ubuntu, Fedora y macOS Sequoia, aunque otras distribuciones podrían estar igualmente afectadas. Para una mayor protección, es esencial aplicar las actualizaciones recomendadas por los desarrolladores.

Qué deben hacer los administradores y usuarios

La única medida efectiva es actualizar Sudo a la versión 1.9.17p1 o más reciente, ya que en esta edición los desarrolladores han corregido ambos problemas: la opción host ha sido restringida a su uso legítimo y la función chroot ha recibido cambios en la gestión de rutas y bibliotecas. Las principales distribuciones, como Ubuntu, Debian, SUSE y Red Hat, han publicado ya los parches correspondientes y sus repositorios cuentan con versiones seguras.

Los expertos en seguridad recomiendan además auditar los archivos /etc/sudoers y /etc/sudoers.d para localizar posibles usos de las directivas Host o Host_Alias, y para comprobar que no existen reglas que permitan la explotación del bug.

No existen soluciones alternativas eficaces. En caso de no poder actualizar inmediatamente, se recomienda monitorizar muy de cerca los accesos y restricciones administrativas, aunque el riesgo de exposición sigue siendo elevado. Para conocer más sobre las medidas y recomendaciones, consulta esta guía sobre actualizaciones de seguridad en Linux.

Este incidente subraya la importancia de los chequeos periódicos de seguridad y de mantener al día componentes esenciales como Sudo. La existencia de fallos ocultos durante más de una década en una utilidad tan extendida es un fuerte recordatorio de los peligros de confiar ciegamente en herramientas de infraestructura sin una revisión constante.

La detección de estas vulnerabilidades en Sudo subraya la relevancia de contar con estrategias de actualización y auditoría proactivas. Administradores y empresas deben revisar sus sistemas, aplicar los parches disponibles y permanecer atentos ante futuras incidencias en componentes críticos del sistema operativo.

from Linux Adictos https://ift.tt/Wf5FCQT
via IFTTT

Vivaldi, el navegador que apuesta fuerte por el personalización y la productividad, continúa evolucionando con el lanzamiento de su versión 7.5. Aunque no estamos ante una actualización cargada de grandes sorpresas, sí incorpora una serie de cambios que buscan mejorar la experiencia del usuario, manteniéndose fiel a las señas de identidad del proyecto: control, flexibilidad y respeto a la privacidad.

Después de varios meses sin novedades importantes, Vivaldi 7.5 llega para dar respuesta a las peticiones de su comunidad de usuarios. Entre las mejoras más destacadas figuran nuevas opciones para gestionar pestañas, afinando detalles clave en la usabilidad diaria del navegador y reforzando la seguridad en la navegación web.

Novedades principales de Vivaldi 7.5

La mayor atención en este lanzamiento se la llevan las pilas de pestañas coloreadas. Hasta ahora, Vivaldi permitía agrupar pestañas en pilas para mantener el orden cuando trabajabas con muchas ventanas abiertas. A partir de la versión 7.5, cada una de estas pilas puede tener su propio color personalizado, lo que facilita distinguir, de un vistazo, tus grupos de trabajo, ocio o cualquier otra categoría que suelas usar. Solo tienes que hacer clic derecho sobre la pila para acceder a la nueva opción de editar, donde puedes escoger un color entre varios predefinidos y asignar un nombre identificativo.

Además, como parte de este enfoque en la organización, el menú contextual de pestañas ha sido revisado y simplificado. Ahora resulta mucho más sencillo encontrar y usar las acciones habituales: abrir nuevas pestañas, moverlas entre ventanas, gestionar grupos, etc. Lo que antes podía resultar algo confuso, ahora se presenta de forma más limpia y adecuada a los hábitos reales de quienes utilizan el navegador a diario.

Mejoras en privacidad y otras funciones clave

Un aspecto que han reforzado es la privacidad de la navegación. Vivaldi 7.5 permite definir un proveedor DNS personalizado solo para el navegador, con compatibilidad completa para DNS sobre HTTPS (DoH). De este modo, las consultas DNS viajan encriptadas y no pueden ser interceptadas o manipuladas por proveedores de internet u otros intermediarios, ofreciendo una capa extra de seguridad que muchos usuarios demandaban. Esta configuración puede encontrarse en la ruta vivaldi://settings/network, o en el apartado Red de los ajustes.

Entre los retoques y refinamientos generales que acompañan al lanzamiento destacan:

• Barra de direcciones: solucionados problemas de enfoque del cursor, sugerencias y menús desplegables.
• Bloqueador de anuncios: ahora soporta nuevas reglas como badfilter, strict3p y strict1p, haciendo el filtrado de contenidos más eficaz.
• Marcadores y notas: mejora en la función de arrastrar y soltar, con indicaciones visuales más claras.
• Cliente de correo y calendario: mejor gestión de conversaciones, invitaciones y diversas tareas asociadas.
• Paneles y widgets: rediseño de elementos, transparencias más logradas y mayor fluidez al personalizar.
• Comandos rápidos: ahora muestran pestañas sincronizadas y gestionan errores de forma más elegante.
• Interfaz de configuración: mejoras visuales y de accesibilidad a lo largo de todo el menú de ajustes.

Se han corregido múltiples errores para optimizar el rendimiento y la estabilidad, incluyendo vulnerabilidades detectadas en el motor Chromium que podrían haber permitido la ejecución remota de código en versiones anteriores, reforzando así la seguridad global del navegador.

Disponibilidad y actualización a Vivaldi 7.5

La versión 7.5 de Vivaldi ya puede descargarse de manera gratuita desde la página oficial del navegador. Los usuarios que ya tengan instalado Vivaldi recibirán la actualización automáticamente, sin que sea necesario realizar ninguna acción adicional. Vivaldi está disponible para Windows, macOS, Linux y, en dispositivos móviles, para Android e iOS.

Compatibilidad y extensiones

En cuanto a compatibilidad, Vivaldi 7.5 mantiene su soporte para extensiones propias y permite instalar cualquier extensión disponible para Google Chrome, ampliando aún más las posibilidades de personalización y productividad según las necesidades de cada usuario. Conoce más sobre las novedades de Vivaldi 7.4.

Todas estas incorporaciones consolidan a Vivaldi como una de las opciones más flexibles y adaptables dentro del mundo de los navegadores, con una orientación muy clara hacia quienes buscan una experiencia distinta, más controlada y con mayores posibilidades de ajuste al gusto personal.

from Linux Adictos https://ift.tt/gJu1Z4O
via IFTTT