IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Linux : un outil de fuzzing révèle un paquet de vulnérabilités du sous-système USB
Des raisons de s'inquiéter ?

Le , par Patrick Ruiz

144PARTAGES

12  0 
Les pilotes USB inclus dans le noyau Linux sont bondés de failles de sécurité si l’on s’en tient aux résultats des recherches d’un expert en sécurité employé par une des grosses enseignes de l’IT. Andrey Konovalov de Google en a dressé une liste de 14 dans un billet de blog destiné à la communauté Linux. « Elles peuvent toutes être exploitées à l’aide d’une clé USB spécialement conçue si l’attaquant a un accès physique à l’ordinateur », a-t-il déclaré.

D’après des informations qui ressortent d’un dépôt en ligne de notoriété désormais bien établie, les 14 vulnérabilités font en réalité partie d’une liste plus longue de 79 entrées. D’après les développements de Konovalov, il s’agit de vulnérabilités non encore rapportées à la communauté et comme on peut s'en douter, sans correctifs. Il s’agit pour la plupart de failles qui peuvent permettre de lancer des attaques par déni de service sur le système d’exploitation. À noter cependant que certaines ouvrent la porte à des privilèges qui permettent l’exécution de code malicieux. L’expert en sécurité a mis syzkaller à profit. Il s’agit d’un outil de fuzzing développé par Google pour dénicher des failles de sécurité.

Alors, des raisons de s’inquiéter ? Non, lanceront à coup sûr la plupart des personnes à qui la question sera adressée. Et pour cause comme on peut le relever une nouvelle fois, l’exploitation desdites failles requiert que l’attaquant ait un accès à l’ordinateur cible et qu’il connecte une clé USB. Le problème est donc, semble-t-il, ailleurs et a plus à voir avec la sécurisation des accès à ses connecteurs USB. C’est bien le cas de le souligner puisque les révélations de l’employé de Google à propos des failles de l’USB ne sont pas un cas isolé.

« Le haut niveau de privilèges dont bénéficient les pilotes USB en fait une cible de choix », ont écrit les auteurs d’une publication de recherche présentée lors de la 11e conférence USENIX sur les systèmes de sécurité du 14 au 15 août dernier. Cette publication met en lumière les liens entre l’adoption massive des dispositifs munis d’interfaces USB et la qualité du point de vue sécurité des pilotes du sous-système Linux. Merci au fuzzing (apprécié par Linus Torvalds lui-même) qui vient révéler que les tares liées aux tests desdits pilotes durant leur phase de développement. Du pain sur la planche donc pour la communauté.

Sources

openwall

POTUS (publication USENIX)

Votre avis

Que pensez-vous des trouvailles de l’expert sécurité de Google ?

Voir aussi

la rubrique sécurité

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de transgohan
Expert éminent https://www.developpez.com
Le 08/11/2017 à 10:36
Je m'inquiète moi au contraire...
Même s'il faut un accès à la machine cela veut dire qu'il suffit de brancher une clé USB sur un ordinateur verrouillé pour en prendre le contrôle.

On aurait eu une faille qui dit qu'en appuyant sur une série de touche du clavier on lancer une session admin que les gens l'auraient pris plus au sérieux...
3  0 
Avatar de Flodelarab
Expert éminent sénior https://www.developpez.com
Le 23/02/2018 à 23:00
Bonjour

La machine est démarrée et elle est sous Linux. Sinon, ce n'est pas une faille Linux.
1  0 
Avatar de CaptainDangeax
Membre expérimenté https://www.developpez.com
Le 10/11/2017 à 9:59
Réveille-toi, il y a des failles dans Linux !
Hein, quoi ?
C'est sur les pilotes USB !
Ah, il faut un accès physique... Laisse, ça ne sera jamais pire qu'avec un tournevis ou le câble d'alimentation.
0  0 
Avatar de friendofweb
Membre actif https://www.developpez.com
Le 23/02/2018 à 22:04
Bonsoir,

Merci pour cette discussion intéressante. Ce qui impliquerait donc, que l'on autorise seulement l'admin de démarrer la machine via le port usb en désactivant le boot usb et en "protégeant" l'accès au bios par mot de passe...
0  1