Un buffer overflow (o desborde de memoria) se lleva a cabo cuando un programa informático excede el uso de cantidad de memoria asignado por el sistema operativo, escribiendo en el bloque de memoria contiguo. Estos fallos son utilizados por ciberdelincuentes para lograr ejecutar código arbitrario en un equipo, de manera que en muchos casos logran tomar control del equipo víctima o ejecutar un ataque de Denegación de Servicios (DoS).
En verdad, un buffer overflow se produce en una aplicación informática cuando no cuenta con los controles de seguridad necesarios en su código de programación. Cabe destacar que para poder llevar a cabo un desborde de memoria, se debe contar con conocimientos de programación, como también nociones básicas de arquitectura de Sistemas Operativos.
El principio operativo de un desbordamiento de búfer va de la mano con la arquitectura del procesador en la que se ejecuta una aplicación vulnerable, ya sea de 32 o 64 bits. Los datos ingresados en una aplicación se almacenan en la memoria de acceso aleatorio, en una zona que se conoce como buffer. Un programa con un diseño correcto debería estipular un tamaño máximo para los datos de entrada y garantizar que no superen ese valor.
Las instrucciones y los datos de un programa en ejecución se almacenan temporalmente en forma contigua en la memoria, en una zona llamada pila. Los datos ubicados después del búfer contienen una dirección de retorno (que se denomina puntero de instrucción) que le permite al programa continuar su tiempo de ejecución. Si el tamaño de los datos es mayor que el del búfer, la dirección de retorno se sobrescribe y el programa leerá una dirección de memoria no válida, generando una violación de segmento en la aplicación.
Entonces, ¿cuál es el posible riesgo de seguridad asociado?
Un cibercriminal con sólidos conocimientos técnicos puede asegurarse de que la dirección de memoria sobrescrita corresponda a una real, por ejemplo, una que esté ubicada en el mismo búfer. Como tal, al ingresar las instrucciones en el búfer (el código arbitrario), es fácil para él ejecutar esta instrucción.
Entonces, es posible incluir instrucciones en el búfer que permitan abrir un intérprete de comandos (como una shell), permitiendo que el atacante tome control del sistema. Este código arbitrario que posibilita la ejecución del intérprete de comandos se conoce como código de shell o shellcode.
Como hemos visto con anterioridad, esta vulnerabilidad puede encontrarse en sistemas operativos, en otro tipo de aplicaciones de terceros e inclusive en protocolos. Por este motivo, desde el Laboratorio de Investigación de ESET Latinoamérica siempre recomendamos leer cuáles son las fallas que corrigen las actualizaciones de aplicaciones y sistemas operativos; la instalación de actualizaciones corrige este tipo de errores, permitiendo cerrar agujeros que facilitarían una brecha de seguridad.
Una política de actualizaciones, en conjunto con una solución de seguridad, ayudará a prevenir la explotación de estos errores en la programación. Próximamente seguiremos mostrando este tipo de vulnerabilidad pero de forma práctica, mostrando por dentro cómo es su funcionamiento.
