Se usate atop su Linux, disinstallatelo! Pubblicato un misterioso avviso (aggiornato)

Tra gli strumenti software di monitoraggio delle prestazioni del sistema utilizzabili su Linux, c’è atop. Pubblicata su GitHub, si tratta di un’applicazione progettata per fornire una visione dettagliata delle risorse utilizzate da processi e sottosistemi. A differenza degli strumenti più basilari come top o htop, atop registra dati storici, permettendo di analizzare il comportamento del sistema nel tempo. In queste ore, tuttavia, una famosa blogger, sviluppatrice, system administrator ed esperta di software e tecnologia, ha tuonato contro atop invitando tutti gli utenti a disinstallare l’utilità con effetto immediato.

Perché atop deve essere immediatamente disinstallato?

Il concetto di fiducia è fondamentale in rete perché influenza la sicurezza, la privacy, le transazioni economiche e l’affidabilità delle informazioni. Nel caso di specie, “Rachelbythebay” è un’esperta informatica che nel corso degli anni ha pubblicato centinaia di post guadagnandosi un’ampia stima.

Anche se sul suo blog il vero nome non appare, basta una semplice ricerca per verificare che dietro lo pseudonimo “Rachelbythebay” c’è Rachel Kroll, una veterana come sysadmin che ha lavorato in Google, Facebook e Lyft. Sempre come ingegnere capo o ingegnere di produzione.

Che la Kroll sia una persona competente e “fidata” è pacifico. Ci ha quindi lasciato di stucco la sua uscita di qualche ora fa pubblicata sempre sul suo blog:

Dovreste smettere di usare atop. La mia vita da sysadmin mercenario può essere interessante. A volte trovo cose, a volte sento cose. Ogni tanto dico cose.

Al momento, penso che sia meglio se disinstallate atop. Non intendo solo arrestarlo, ma impedirne effettivamente l’esecuzione.

Non sto parlando di top, o htop, iftop, o qualsiasi altra cosa con un nome “top”. Solo atop.

Potrò spiegarne il motivo un’altra volta.

Rachel invita tutti coloro che utilizzano l’utilità Linux atop a disinstallarla subito. Non limitandosi quindi ad arrestarne l’esecuzione ma proprio a rimuoverla da qualunque sistema.

Quali sono i motivi di un’esortazione così criptica?

La comunità Linux, professionisti e utenti sono divisi rispetto al messaggio pubblicato dall’esperta. Perché non solo consigliare ma proprio esortare in maniera così imperativa alla rimozione di un’utilità popolare come atop senza fornire alcuna giustificazione? Senza conoscere alcun dettaglio tecnico, è possibile fare solamente delle ipotesi.

Va detto, infatti, che atop utilizza ampi privilegi. Basti pensare che si serve di diversi hook che eseguono automaticamente il codice come root e interagisce direttamente con il file system.

Non è quindi escluso che Rachel abbia individuato una grave vulnerabilità di sicurezza in atop e che, per via di qualche accordo di riservatezza, non possa al momento scendere nei particolari. Questo motiverebbe la frase finale: “potrò spiegare il motivo più avanti“. Nel frattempo, l’informatica si è comunque sentita in dovere di caldeggiare la disinstallazione di atop da tutti i sistemi.

Oltretutto, atop utilizza un componente chiamato netatop che installa a sua volta un modulo kernel persistente, netatop.ko, come parte della sua installazione. Il modulo aggancia netfilter per poter monitorare tutto il traffico di rete. Se nel modulo kernel fosse presente un bug sfruttabile da parte di malintenzionati, si tratterebbe di una problematica di sicurezza di gravità massima.

Rachel potrebbe aver semplicemente segnalato in modo responsabile la (presunta) vulnerabilità, lasciando agli sviluppatori di atop il tempo materiale per risolverla. Nel frattempo, però, vista la portata dell’anomalia, l’esperta avrebbe consigliato la rimozione dell’utilità a scopo cautelativo. Non escludendo che l’eventuale problema di sicurezza in questione possa essere già sfruttato in-the-wild. Lo ripetiamo, però. Al momento siamo nel campo delle mere speculazioni.

Aggiornamento del 27 marzo 2025. Il problema rilevato in atop, secondo Rachel Kroll

A distanza di poche ore dalla pubblicazione del suo primo sibillino messaggio, Kroll ha voluto fare un po’ di chiarezza. In un post dal titolo “Problems with the heap“, la sysadmin ha voluto spiegati che il principale problema in atop è legato a una vulnerabilità nella gestione dell’heap, che può portare a corruzione della memoria e potenzialmente a un’escalation di privilegi. Analizziamo nel dettaglio le problematiche segnalate:

Corruzione dell’heap e crash del processo

L’errore riportato dalla ricercatrice (malloc(): corrupted top size) indica che la gestione della memoria dinamica da parte di atop è compromessa. Questo può accadere tecnicamente per diversi motivi. Dai messaggi di errore si nota che l’allocatore di memoria di glibc rileva incoerenze e forza l’arresto del programma, generando crash come:

• Aborted → Il programma termina a causa di una corruzione rilevata.
• Segmentation fault → Il processo tenta di accedere a una porzione di memoria non consentita.
• Fatal glibc error → L’allocatore di memoria trova un’inconsistenza interna.

Vulnerabilità sfruttabile

Kroll evidenzia che un utente malintenzionato può di fatto mettere in campo un’operazione che induca un altro utente a eseguire atop e provocare un crash. Se questo comportamento può essere controllato in modo prevedibile, un attaccante potrebbe sfruttarlo per eseguire codice arbitrario.

L’implicazione più grave è se l’utente vittima ha i privilegi root: in questo caso, un exploit potrebbe portare ad acquisire privilegi elevati, consentendo all’attaccante di ottenere il controllo del sistema.

Come reagire

Kroll ribadisce la sua raccomandazione di smettere di usare atop, soprattutto come root. Il fatto che il crash possa essere indotto suggerisce che la vulnerabilità potrebbe essere sfruttata attivamente, anche se l’ingegnere ammette di non aver ancora sviluppato un exploit concreto.

La vulnerabilità in atop è seria perché riguarda la corruzione della memoria e potrebbe portare all’esecuzione di codice arbitrario. Fino a quando il problema non sarà analizzato e corretto, è prudente accantonare atop per prevenire eventuali exploit, specialmente su sistemi critici.