Linux - CVE-2025-0927: Desbordamiento de búfer en HFS+

Resumen técnico de CVE-2025-0927

Tipo: Heap overflow en la implementación de los sistemas de archivos HFS/HFS+ del kernel Linux.
Descripción: Un atacante puede crear una imagen HFS+ manipulada que, al montarse (normalmente por usuarios con privilegios administrativos o mediante exploits locales que permiten mounts no privilegiados en entornos de escritorio), desencadena un desbordamiento de búfer en el kernel.
Afectados: Todas las versiones del kernel Linux hasta la 6.12.0, especialmente Ubuntu 22.04 con kernel 6.5.0-18-generic y otras distros que permiten mounts no privilegiados usando herramientas como udisksctl.
Explotabilidad: Es posible ejecutar código arbitrario en contexto de kernel (LPE) y provocar denegaciones de servicio (Crashes).

Detalles técnicos de la explotación

El fallo radica en la función de procesamiento de claves B-tree (hfs_bnode_read_key), que no comprueba correctamente los límites al manipular claves extendidas en el sistema HFS+, permitiendo que datos maliciosos escritos en una imagen generen escritura fuera de los límites (out-of-bounds write) en memoria kernel.
Un atacante debe preparar una imagen HFS+ con atributos especialmente diseñados y montarla. Al crear archivos con ciertas extended attributes y manipular el orden lexicográfico, se corrompe el heap del kernel, permitiendo corrupción de estructuras y posible escalada de privilegios o bypass de KASLR (aleatorización de direcciones del kernel).
En ambientes con mounts permisivos, como escritorios Linux, puede ejecutarse de forma no privilegiada. La explotación avanzada permite modificar rutas sensibles como modprobe_path para cargar binarios arbitrarios como root.

Mitigación y defensa

Actualizar el kernel (consultar Ubuntu y Kernel.org para parches derivados del CVE).
Desactivar mounts no privilegiados de sistemas de archivos HFS/HFS+ en ambientes de escritorio y limitar acceso a syscalls mount().
Habilitar opciones de hardening: SLAB_CANARY, HARDENED_USERCOPY y KCFI (Kernel Control Flow Integrity).
Monitorizar patrones de mount y crash del kernel para detectar intentos de explotación.
Limitar la exposición en servidores y eliminar dependencias de HFS/HFS+ si no es necesario.

Fuentes y enlaces recomendados:

Ubuntu: https://ubuntu.com/security/CVE-2025-0927
NVD/NIST: https://nvd.nist.gov/vuln/detail/CVE-2025-0927
SSD Advisory: https://ssd-disclosure.com/ssd-advisory-linux-kernel-hfsplus-slab-out-of-bounds-write/
Análisis y PoC: https://cyberunfolded.in/blog/cve-2025-0927
Wazuh: https://cti.wazuh.com/vulnerabilities/cves/CVE-2025-0927

Resumen en tabla

Atributo	Detalle
CVE	CVE-2025-0927
Severidad	Alta (CVSS 7.8–8.8)
Componente y función	Kernel Linux – HFS/HFS+ – hfs_bnode_read_key
Impacto	Heap overflow, ejecución arbitraria, denegación de servicio
Afectados	Linux kernel <6.12, Ubuntu 22.04, otros sistemas con mounts
Mitigación	Actualizar kernel, desactivar mounts HFS+, hardening
Técnicas de explotación	Crafting imagen HFS+, heap spraying, KASLR bypass

Esta vulnerabilidad pone de relieve la necesidad de monitorizar y endurecer la gestión de sistemas de archivos heredados en distribuciones modernas, especialmente en escritorios y entornos multiusuario.