Microsoft ha publicado los resultados de una auditoría de varios subsistemas de Linux con ayuda de la IA que se ha saldado con 59 informes públicos de fallos, 33 CVE (Common Vulnerabilities and Exposures o Vulnerabilidades y exposiciones comunes) y 38 correcciones ya incorporadas a la rama principal del kernel. Los encargados del trabajo han sido FORGE Lab, un laboratorio de investigación de seguridad de Microsoft, y dicen haber aprendido una lección.
El equipo de FORGE Lab (Frontier Offensive Research & Generative Exploitation Lab) se centró en subsistemas como las redes, los sistemas de archivos y los módulos de seguridad, eligiendo componentes que se podían probar en máquinas virtuales sin necesidad de hardware especializado. Y, según detallan en su reporte, su herramienta de análisis, de nombre en clave MDASH, arrojó 26.502 descubrimientos preliminares en unas dos semanas, incluyendo el cribado.
El primer filtro dejó 11.769 candidatos y, a partir de ahí, otros agentes intentaron reproducir los fallos en máquinas virtuales, consiguiendo pruebas de concepto para 621 casos. Los investigadores revisaron esas pruebas y vieron que cerca de la mitad de los casos compartían causa con algún otro, por lo que un mismo parche podía resolver varios. Otros tenían un impacto limitado o ya se habían notificado o corregido. Al final, salió aproximadamente un informe público por cada diez casos con prueba de concepto.
De los 33 fallos con CVE, 24 se han calificado como de gravedad alta o superior. En ocho casos, los investigadores demostraron en laboratorio que un usuario local podía obtener privilegios de root. Un dato que también merece mención es que los fallos notificados llevaban de media algo más de ocho años en el kernel. Uno de los más antiguos, en el clasificador de tráfico de red cls_u32, llevaba ahí al menos 21 años. No es el primer agujero tan longevo que se encuentra y que genera dudas a este respecto.
Otro de los fallos ilustra el porqué de semejante demora en algunos casos. Identificado como CVE-2026-64563, si el kernel interrumpía una consulta y la tabla que estaba recorriendo cambiaba de tamaño mientras tanto, al reanudarla podía intentar leer de una zona de memoria ya liberada. Para que ocurriera, tenían que coincidir la pausa de la consulta, el cambio de tamaño de la tabla y la liberación de la entrada cuya referencia el kernel aún conservaba. Microsoft comprobó que un usuario sin privilegios podía provocar esa situación mediante una consulta de diagnóstico de red y aprovecharla para obtener acceso root en un kernel con la configuración habitual… y el parche consistió en una sola línea que borra la referencia antigua antes de continuar.
En muchos de estos ejemplos, la IA ayudó a preparar los primeros parches, pero revisar los hallazgos, preparar los informes y pulir las correcciones con los mantenedores llevó meses. Por otro lado, la mitad de las correcciones integradas se aceptaron al primer intento, mientras que para las demás hicieron falta entre una y cuatro revisiones. «En infraestructuras complejas como el kernel Linux sigue siendo necesaria la intervención humana, lo que convierte al trabajo humano en el cuello de botella», concluyen los investigadores.
Todos los detalles de este trabajo están en el blog de FORGE Lab.
En otro orden de cosas, o quizás no tanto, el mes pasado se lanzó Microsoft Defender para el escritorio Linux en vista previa pública, solución con la que los de Redmond completan su oferta de seguridad profesional para Linux en torno a Defender for Endpoint.
