Contenu | Rechercher | Menus

Annonce

Si vous rencontrez des soucis à rester connecté sur le forum (ou si vous avez perdu votre mot de passe) déconnectez-vous et reconnectez-vous depuis cette page, en cochant la case "Me connecter automatiquement lors de mes prochaines visites".
Test de l'ISO d'Ubuntu francophone : nous avons besoin de testeurs pour la version francophone d'Ubuntu 14.04. Liens et informations ici.

#1 Le 17/10/2006, à 16:49

i M@N

Faille de sécurité dans les pilotes Linux de NVIDIA

Hello !

La société experte en sécurité Rapid7 vient de découvrir une faille de sécurité de taille dans les pilotes Linux propriétaires de NVIDIA. La brèche concerne les versions 8774 et 8762 des pilotes du Caméléon.

Ces pilotes offrent la possibilité à un pirate d'injecter un code malin en tant qu'administrateur (root) du système d'exploitation, grâce à un classique dépassement de mémoire tampon (buffer overflow). Ce bug peut ainsi être exploité localement ou à distance, en incitant la victime à visiter une page web spécialement conçue pour tirer parti de cette faille.

Les chercheurs de Rapid7 ont publié un bulletin de sécurité concernant cette faille hier tout juste, une faille qui ne concerne que les pilotes propriétaires (sources fermées) de NVIDIA. Les pilotes Linux open source de la marque (inclus par défaut dans X Window) ne sont en revanche pas sujets à cette faille de sécurité. Car ces derniers n'offrent pas l'accélération matérielle que permet les pilotes propriétaires.

Or, la brèche se situe précisément dans l'accélération matérielle de l'affichage : un bug permet au pirate de faire planter le pilote pour introduire un code malin en mémoire lors du crash. Rapid7 conseille donc aux utilisateurs de passer à la version open source des pilotes de NVIDIA. Une autre solution consiste à utiliser les tout derniers pilotes 9625 de la marque, encore en version bêta, disponibles sur cette page chez nZone.

Rapid7 a aussi pu remarquer d'autres bugs dans ces mêmes pilotes propriétaires, mais sans trouver d'autres failles de sécurité. Pour l'heure, Rapid7 publie un « proof of concept » de l'exploitation de la faille, et propose même une démonstration à cette adresse (attention, si l'adresse est encore valable, les utilisateurs Linux doivent s'attendre à un crash graphique de taille).

Source : http://www.pcinpact.com/actu/news/32112-faille-NVIDIA-Linux.htm

ça y est ... je flippe. :-/

@+...


1 x Intel(R) Core i7 2600K CPU 3.4GHz Debian sid = roxX !
1 x MSi Wind U100 Debian sid = roxX !!
Read The F***in' Manual or die tryin' !
webmaster @ http://www.rastavibes.net reggae shop

Hors ligne

#2 Le 17/10/2006, à 17:32

Smarter

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Et y'a aussi un exploit pour passer en root: http://download2.rapid7.com/r7-0025/nv_exploit.c
Je n'ai pas de carte nvidia mais pour le tester ceci doit marcher:

sudo apt-get install gcc
gcc -o nv_exploit nv_exploit.c
./nv_exploit

L'article de linuxfr : http://linuxfr.org/2006/10/17/21491.html précise que le bug date de 2004... encore une preuve des problèmes des pilotes propriétaires roll
La nouvelle version des pilotes de Nvidia corrige (enfin) ce bug: http://download.nvidia.com/XFree86/Linux-x86/1.0-9626/NVIDIA-Linux-x86-1.0-9626-pkg1.run

Hors ligne

#3 Le 17/10/2006, à 18:17

i M@N

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Reuh ...

Oki, supposons que je souhaite mettre à jour mes drivers Nvidia avec ceux que tu me donnes.
Comment je fais avec un .run et est-ce que je dois désinstaller ceux que j'ai (nvidia-glx, nvidia-kernel-common, linux-restricted-modules) avant ?
ça serait bien que quelqu'un m'explique comment on fait avec et sans Xgl/Beryl ...

ThnxX.

@+...


1 x Intel(R) Core i7 2600K CPU 3.4GHz Debian sid = roxX !
1 x MSi Wind U100 Debian sid = roxX !!
Read The F***in' Manual or die tryin' !
webmaster @ http://www.rastavibes.net reggae shop

Hors ligne

#4 Le 17/10/2006, à 18:34

Smarter

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Je suis pas trop sur, la page de download indique "NVIDIA Quadro Plex Driver
Linux x86" alors peut-être que pour le moment ça ne fonctionne que sur cette carte? Tu peux toujours essayer de suivre la procédure décrite ici: http://doc.ubuntu-fr.org/materiel/nvidia.run en l'adaptant au numéro de cette version.

Hors ligne

#5 Le 17/10/2006, à 20:44

David_newbuntu

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

y a t il un risque réel? Si oui comment réinstalle t on les pilotes d'origine d'après ce que j'ai compris il faut virer nvidia-glx mais pour le remplacer par quoi?


Be happy GNU with Ubuntu
Ubuntu 6.06 LTS
Linux david-desktop 2.6.15-27-k7

Hors ligne

#6 Le 17/10/2006, à 22:04

tinkywinky

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

SI jamais on peut sans autre installer les drivers du lien que donne smarter (http://download.nvidia.com/XFree86/Linu … 6-pkg1.run) sur n'importe quelle nvidia wink


Dell XPS M1710, Core 2 Duo 2.16 Ghz, 1 Go RAM, NVidia 7900 GTX 512Mo (1.0.9755)
Debian Unstable, Kernel 2.6.21, KDE 3.5.6, Beryl SVN

Hors ligne

#7 Le 19/10/2006, à 11:08

i M@N

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Hello !

@ tinkywinky : j'ai rien compris à cette phrase. :-/

Merci pour vos réponses. ; )

@+...


1 x Intel(R) Core i7 2600K CPU 3.4GHz Debian sid = roxX !
1 x MSi Wind U100 Debian sid = roxX !!
Read The F***in' Manual or die tryin' !
webmaster @ http://www.rastavibes.net reggae shop

Hors ligne

#8 Le 19/10/2006, à 12:52

David_newbuntu_##

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Ahhh mon serveur graphique est hs. J'ai suivi la doc nvidia.run ça a été jusqu'a ce que je tente de lancer les nouveaux drivers. ça me renvoit un probème sur le serveur graphique puis ça me log en console sur l'avant dernier noyau (je sais plus la version et je ne suis pas chez moi) et sur le noyau 2.6.15-26-k7 ça se bloque avant de me logguer. J'ai essayé de recharché la backup de xorg.conf (que j'avais effectué quand tout allé bien avec les driver libre) mais ça n'a rien changé

#9 Le 19/10/2006, à 13:10

PhilippeP

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Oui mais le compte root n'existant pas sur Ubuntu ... sommes nous concerné à court terme ??? (la question s'adresse à quelqu'un qui comprend le code de l'exploit)


Attention, je suis loin d'être un Goubunturou ...
Il m'arrive de me tromper (si si...)
Desktop Kubuntu 12.04 KDE 4.9 SC - Lenovo Ideapad S10 3T Kubuntu 12.04 KDE 4.8 SC

Hors ligne

#10 Le 19/10/2006, à 21:57

"-"

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Si il existe mais il est désactivé. Ce n'est pas du tout pareil que "Le compte root n'existe pas". Donc on est aussi concerné.

D'ailleurs si tu fais un

ps aux

tu verras plein de processus lancés en root.

++, "-".

#11 Le 02/11/2006, à 15:34

Efhache84

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Bon ben après modération je vois que ce sujet existait déjà (le module de recherche ne fonctionne pas bien sur le forum hmm)

Finalement où celà en est-il? risquons nous vraiment qqch? si oui commen remédier à cela? quelle manip à faire? merci:)


Aspire 5633 WLMi - Lucid Lynx 10.04 en 64 bits

Hors ligne

#12 Le 02/11/2006, à 16:28

YS

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

N'empêche, quand ATI ne donnent pas de drivers, ils ne filent pas de failles.

*essaye de positiver vis-à-vis de ses 2 cartes ATI*


Aspirant couche-tard, à tendance otageek.

Hors ligne

#13 Le 02/11/2006, à 17:17

Infinity

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

j'ai pas réussi à compiler l'exploit .... un problème de conflit entre freetype et freetype2 ... j'ai essayé de le contourner avec un lien symbolique, mais d'autres erreurs sont venues, que je pige pas.

Hors ligne

#14 Le 06/11/2006, à 12:02

Lestat the vampire

Re : Faille de sécurité dans les pilotes Linux de NVIDIA

Pour corriger cette faille de sécurité, il suffit d'installer la dernière version des drivers nvidia : les 8776 (voir ce topic : http://forum.ubuntu-fr.org/viewtopic.php?id=70114)
La seule manière est de suivre le tuto http://doc.ubuntu-fr.org/materiel/nvidia.run.

Hors ligne

Haut de page ↑