Une vulnérabilité permettant des élévations de privilèges sur Linux indétectée pendant 9 ans

Une situation de compétition a été trouvée dans la façon dont la mémoire du noyau du sous-système Linux géré la rupture de la copie sur écriture (COW) de mappings de mémoire en lecture seule. Pour rappel, une situation de compétition fait référence à un dysfonctionnement dû à un bogue, qui fait que dans un même logiciel deux automatismes qui travaillent simultanément donnent des résultats différents suivant l'automatisme qui termine avant l'autre.

Répertoriée comme étant CVE-2016-5195, cette faille critique est passée inaperçue pendant neuf ans et permet d’obtenir une élévation de privilèges. Des experts en sécurité, qui ont découvert un code d’attaque indiquant que la vulnérabilité a été largement exploitée, recommandent aux utilisateurs d’installer le correctif aussi vite que possible.

Dan Rosenberg, un chercheur senior pour le compte d’Azimuth Security, a estimé « qu’il s’agit la probablement de la plus grande élévation de privilèges jamais répertoriée sur Linux ». « La nature de la vulnérabilité se prête à une exploitation extrêmement fiable. Cette vulnérabilité est présente depuis neuf ans, ce qui est une très longue période de temps ».

La faille a été colmatée cette semaine par les responsables du noyau Linux. Les distributeurs downstream préparent une mise à jour qui embarque ce correctif. À ce propos, Linus Torvald a déclaré hier : « il s’agit là d’un ancien bogue que j’ai moi-même tenté une fois (mal) de corriger il y a 11 ans dans le commit 4ceb5db9757a ("Fix get_user_pages() race for write access" mais ça n’a pas été fait à cause du problème s390 soulevé par le commit f33ea7f404e5 ("fix get_user_pages bug". Entre temps, le problème s390 a été corrigé depuis un moment déjà et nous pouvons corriger ce problème en vérifiant convenablement l’octet pte_dirty() (et le faire mieux) ».

Les vulnérabilités qui permettent une élévation des privilèges sont dangereuses parce qu’elles peuvent servir par exemple contre les hébergeurs web et permettre au pirate d’attaquer ses clients, voire même leurs propres services. Combinés avec d’autres attaques, ces exploits peuvent permettre de faire encore plus de dégât.

La découverte des attaques exploitant ces vulnérabilités est le fait de Phil Oester, un développeur Linux. Il explique que « n’importe quel utilisateur peut passer accéder à la racine en moins de 5 secondes d’après mes tests. La vulnérabilité est plus facile à exploiter avec un accès local à un système tel que les comptes shell. Même si cela fonctionne, elle est moins évidente à exploiter lorsqu’il faut passer par une vulnérabilité serveur web / application qui permet à l'attaquant de faire un upload de fichier sur le système touché et l’exécuter » .

Oester a trouvé un exploit en analysant le trafic de ses serveurs web : « l'exploit en particulier qui a été téléchargé sur mon système a été compilé avec GCC 4.8.5 released 20150623, bien que cela ne devrait pas impliquer que la vulnérabilité n’était pas disponible avant cette date compte tenu de sa longévité. Quant à savoir qui est ciblé, toute personne exécutant Linux sur un serveur Web est vulnérable ».

Source : Linus Torvalds, RedHat, Canonical, Phil Oester