San Looney Tunables, che accorda le variabili d'ambiente

Patrono dei loader dinamici, delle variabili d'ambiente troppo lunghe e dei cartoni animati che finiscono con «That's all folks».

Vita

Il 3 ottobre 2023 Qualys rivelò un buffer overflow in ld.so, il caricatore dinamico della glibc, nel modo in cui leggeva la variabile GLIBC_TUNABLES. Bastava passare una variabile malformata a un programma setuid per diventare root nelle installazioni predefinite di Fedora, Ubuntu e Debian. Il difetto era entrato nella glibc 2.34 nell'aprile 2021, e nel giro di poche settimane finì nel catalogo CISA degli exploit usati davvero.

Preghiera

O San Looney Tunables, che con una sola variabile fai ballare il loader, fa' che i nostri programmi setuid non diano ascolto a ogni ambiente. Amen.

Come si festeggia

Si festeggia aggiornando la glibc e guardando un vecchio cartone animato, finché qualcuno non diventa root.

Chi accorda troppo lo strumento spezza la corda.