Des chercheurs mettent en garde contre la vulnérabilité d’écrasement de fichiers arbitraires « Dirty Pipe » du noyau Linux

Vulnérabilité d'écrasement arbitraire des fichiers Des nouvelles

Les distributions Linux sont en train de publier des correctifs pour résoudre une vulnérabilité de sécurité récemment révélée dans le noyau qui pourrait permettre à un attaquant d’écraser des données arbitraires dans n’importe quel fichier en lecture seule et permettre une prise de contrôle complète des systèmes affectés.

Surnommé « Tuyau sale » (CVE-2022-0847, score CVSS : 7,8) par le développeur de logiciels IONOS Max Kellermann, la faille « conduit à une élévation des privilèges car des processus non privilégiés peuvent injecter du code dans les processus racine ».

Kellerman a déclaré que le bogue avait été découvert après avoir creusé un problème de support soulevé par l’un des clients du fournisseur de cloud et d’hébergement qui concernait un cas de « type surprenant de corruption » affectant les journaux d’accès au serveur Web.

La faille du noyau Linux existerait depuis version 5.8la vulnérabilité partageant des similitudes avec celle de Dirty Cow (CVE-2016-5195), découverte en octobre 2016.

« Une faille a été trouvée dans la façon dont le membre ‘flags’ de la nouvelle structure de tampon de canal manquait d’initialisation correcte dans les fonctions copy_page_to_iter_pipe et push_pipe dans le noyau Linux et pouvait donc contenir des valeurs obsolètes », a expliqué Red Hat dans un avis publié lundi.

« Un utilisateur local non privilégié pourrait utiliser cette faille pour écrire sur des pages du cache de pages sauvegardées par des fichiers en lecture seule et ainsi élever ses privilèges sur le système », a-t-il ajouté.

Tuyau, abréviation de pipelineest un mécanisme de communication inter-processus unidirectionnel dans lequel un ensemble de processus sont enchaînés de telle sorte que chaque processus prend une entrée du processus précédent et produit une sortie pour le processus suivant.

L’exploitation de la faiblesse nécessite d’effectuer les étapes suivantes : créer un canal, remplir le canal avec des données arbitraires, vider le canal, assembler les données du fichier cible en lecture seule et écrire des données arbitraires dans le canal, a expliqué Kellerman dans une preuve de- concept (PoC) exploit démontrant la faille.

Mettre tout simplement; la vulnérabilité présente un risque élevé dans la mesure où elle permet à un attaquant d’effectuer un certain nombre d’actions malveillantes sur le système, y compris la falsification de fichiers sensibles tels que /etc/passwd pour supprimer le mot de passe d’un utilisateur root, ajouter des clés SSH pour l’accès à distance et même exécuter des binaires arbitraires avec les privilèges les plus élevés.

« Pour rendre cette vulnérabilité plus intéressante, elle fonctionne non seulement sans autorisations d’écriture, mais également avec des fichiers immuables, en lecture seule. btrfs instantanés et sur les montages en lecture seule (y compris les montages sur CD-ROM) « , a déclaré le chercheur. « C’est parce que le cache de page est toujours accessible en écriture (par le noyau) et que l’écriture dans un canal ne vérifie jamais les autorisations. »

Le problème a été résolu dans les versions Linux 5.16.11, 5.15.25 et 5.10.102 au 23 février 2022, trois jours après avoir été signalé à l’équipe de sécurité du noyau Linux. Google, pour sa part, a fusionné les correctifs dans le noyau Android le 24 février 2022.

Compte tenu de la facilité avec laquelle la faille de sécurité peut être exploitée et de la publication de l’exploit PoC, il est recommandé aux utilisateurs de mettre à jour les serveurs Linux immédiatement et appliquer la correctifs pour autre distributions dès qu’ils sont disponibles.

David
Rate author
Hackarizona