Ubuntu : l'outil de reporting des bogues permettrait d'exécuter du code malveillant à distance
Les versions d'Ubuntu 12.10 et plus sont touchées

Le , par Malick, Community Manager
Un chercheur en sécurité du nom de Donncha O'Cearbhaill annonce avoir découvert des vulnérabilités critiques, notamment CVE-2016-9949 et CVE-2016-9950, dans le système d'exploitation Ubuntu de Linux. Ces failles ont été localisées au niveau de l'outil en charge du reporting des bogues identifiés dans le système. Donncha O'Cearbhaill soutient que lesdites vulnérabilités affectent toutes les versions d'Ubuntu 12.10 et supérieures.

Selon l'expert en sécurité, une exploitation réussie de ces failles va donner à un hacker la possibilité d'exécuter à distance du code malveillant sur un ordinateur tournant sous Ubuntu 12.10 et plus. Pour ce faire, Donncha O'Cearbhaill soutient que la victime est invitée à télécharger un fichier malicieux qui s'attellera à faire une analyse approfondie du fichier de reporting des bogues afin d'identifier les vulnérabilités. Au terme de l'analyse, un code malveillant écrit en Python sera exécuté.

Dans son billet, l'expert en sécurité précise que le code arbitraire va d'abord vérifier si le champ CrashDB de l'outil de reporting commence par {indiquer le début d'un dictionnaire Python. Lorsque le résultat de la recherche lui sera favorable, c'est-à-dire que le champ CrashDB contient les informations recherchées, la fonction Python builtin eval() sera appelée avec comme paramètre la valeur du champ CrashDB. La fonction eval() va ensuite s'exécuter pour permettre le chargement des données de configuration du CrashDB directement à partir du champ crashDB et non à partir d'un fichier local. Les données ainsi chargées vont se comporter comme du code Python classique entraînant ainsi l’ouverture de la calculatrice Gnome.

Dooncha rappelle que les éléments de configuration du champ CrashDB sont stockés dans le /etc/apport/crashdb.conf.d directory. Il précise que le champ CrashDB peut être utilisé pour charger un fichier de configuration à partir de ce répertoire.

Pour mieux étayer ses dires, Donncha O'Cearbhaill a partagé une vidéo de démonstration dans laquelle il montre qu'il est bien possible de prendre le contrôle d'une machine fonctionnant sous le système d'exploitation Ubuntu grâce un fichier malveillant.


Le chercheur en sécurité a également mis sur Github le code complet qui lui a permis d'exploiter ces vulnérabilités.

Donncha O'Cearbhaill nous informe que cette ces failles ont été corrigées depuis le 14 décembre dernier grâce à une mise à jour corrective déployée par Canonical. Cependant, il invite tous les chercheurs en sécurité à auditer les logiciels libres et open sources qu'ils utilisent. Il déclare même que des projets tels que Tor, Tails, Debian et Ubuntu ont tous besoin d'être contrôlés afin d'assurer la sécurité des internautes les utilisant.

Source : blog de Donncha

Et vous ?

Qu'en pensez-vous ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de chrtophe chrtophe - Responsable Systèmes https://www.developpez.com
le 17/12/2016 à 8:43
Ceci démontre que Linux peut aussi avoir des vulnérabilités, il faut en avoir conscience.

Ce n'est pas le genre d'applis à laisser sur une machine en prod.
Avatar de Jipété Jipété - Expert éminent https://www.developpez.com
le 17/12/2016 à 10:01
Salut,
Citation Envoyé par chrtophe Voir le message
Ce n'est pas le genre d'applis à laisser sur une machine en prod.
Oui, enfin, ce n'est pas aussi simple que ça, et je doute qu'un admin consciencieux tombe dans ce panneau grossier :
Citation Envoyé par Malick SECK Voir le message
[...] Pour ce faire, Donncha O'Cearbhaill soutient que la victime est invitée à télécharger un fichier malicieux [...]
Avatar de cbleas cbleas - Membre éprouvé https://www.developpez.com
le 17/12/2016 à 10:46
Oui, enfin, ce n'est pas aussi simple que ça, et je doute qu'un admin consciencieux tombe dans ce panneau grossier :
C'est vrai un admin mais est ce que ununtu n'est pas fait pour un utilisateur lambda?
est ce que si tout le monde passais sous linux on ne se retrouvais pas dans la situation d'android qui collectionne un nombre impressionnant de programmes vérolés.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 17/12/2016 à 11:11
oui... quand on me dit que Linux est plus 'secure' ca me fait bien rigoler. Quand mon Linux Mint sort de veille j'ai acces au bureau +- 5 sec avant qu'on me demande mon mot de passe.... Si ca c'est pas une faille....

Sous Windows ca aurait fait tout un drame....
Avatar de Zefling Zefling - Membre expert https://www.developpez.com
le 17/12/2016 à 16:10
Citation Envoyé par Aeson Voir le message
oui... quand on me dit que Linux est plus 'secure' ca me fait bien rigoler. Quand mon Linux Mint sort de veille j'ai acces au bureau +- 5 sec avant qu'on me demande mon mot de passe.... Si ca c'est pas une faille....

Sous Windows ca aurait fait tout un drame....
C'est un problème de Mint, ça, pas Linux. Interface graphique ≠ noyau.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 17/12/2016 à 16:16
C'est un problème de Mint, ça, pas Linux. Interface graphique ≠ noyau.
c'est ca l'excuse ?
Avatar de Oscar.STEFANINI Oscar.STEFANINI - Membre régulier https://www.developpez.com
le 17/12/2016 à 16:25
c'est ca l'excuse ?
Oui. Tu es libre de choisir une interface graphique qui ne laisse pas un bug comme ça.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 17/12/2016 à 16:29
Mint c'est Linux comme Internet Explorer c'est Windows.

Aucun distribution Desktop de Linux n'est performante. Linux avec desktop c'est jute bon comme hobby. Et je ne parle meme pas de virtualisation de desktop Linux...

Si Linux a 2% en Desktop c'est pas pour rien. Il vaut mieux l'utiliser comme serveur via SSH. La il est tres bon

Sinon les failles IIS c'est des failles Windows ou non ?
Avatar de chrtophe chrtophe - Responsable Systèmes https://www.developpez.com
le 17/12/2016 à 16:52
Les failles IIS sont des failles du serveur Web IIS, elles peuvent s'appuyer sur des faillles Windows.

Mint c'est Linux comme Internet Explorer c'est Windows.
Faux :
Mint est basé sur Ubuntu, elle utilise Cinnamon (basé sut Gnome 3) ou Mate (basé sur Gnome 2), au choix.
Internet explorer est le navigateur fourni par Microsoft. Il s'intègre profondément dans le système mais est désactivable, il est maintenant remplacé par Edge, tu utilises celui que tu veux.

Sous Windows, l'interface graphique n'est pas séparable du noyau.

Et je ne parle meme pas de virtualisation de desktop Linux...
J'utilise des VM avec 512 Mo de RAM qui sont super rapides et marchent très bien.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 17/12/2016 à 17:01
Sous Windows, l'interface graphique n'est pas séparable du noyau.
Si, Nano Server et Windows Server core n'ont pas d'interface graphique. et Nano n'as que le kernel windows

J'utilise des VM avec 512 Mo de RAM qui sont super rapides et marchent très bien.
Peu importe la RAM sou Hyper-V ou VirtualBox impossible de faire tourner un Desktop comme il faut. Et le xRdp est truffe de bug clavier.... Et l'interface graphique est alors bien merdique. Le Desktop sous Windows est BEAUCOUP plus simple et plus efficace.

Mint est basé sur Ubuntu, elle utilise Cinnamon (basé sut Gnome 3) ou Mate (basé sur Gnome 2), au choix.
Mint est une des distribution Linux Desktop les plus populaire et conseillee. Et elle a ce bug assez incroyable. Ne cherchez pas les details pour trouver des excuses...

Une des distribution desktop les plus populaire de Linux a ce bug... C'est loin de faire pro.

J'utilisais Linux pour le developement avec Docker. En Desktop c'est trop penible. Une vrai perte de temp. ca ne marche JAMAIS du premier coup. Je suis retourné sous Windows et me conecte a des serveur linux en SSH pour compiler mes containers via docker-machine... Ca marche BEAUCOUP mieu depuis et je peus me concentrer sur l'essentiel : le code.
Contacter le responsable de la rubrique Accueil