Faille critique du kernel permettant un acces root

Jos31 · Le 16/08/2009, à 23:00

Bonjour,

Attention une faille critique a été détectée permettant depuis un shell limité de prendre le controle root de la machine. Cette faille impacte visiblement tous les kernel depuis 2001, y compris les 2.4.

Je l'ai testée avec succès sur mon ubuntu 9.04 à jour avec kernel 2.6.28-14-generic.

On peux visualiser la démo de la faille depuis youtube: http://www.youtube.com/watch?v=arAfIp7YzZ4&eurl=http%3A%2F%2Fwww.zataz.com%2Falerte-securite%2F19366%2FLocal-Root-Exploits-vulnerability-Linux-Kernel.html&feature=player_embedded

Je ne met pas le lien vers le source permettant l'exploit mais il n'est pas dur a trouver

Link31 · Le 17/08/2009, à 00:03

C'est bien pratique d'ailleurs, ça permet de faire un raccourci sur le bureau pour lancer un terminal root sans même avoir besoin de rentrer de mot de passe

hypsen · Le 17/08/2009, à 00:05

La question est: personne ne s'en était aperçu jusqu'à aujourd'hui ou des petits malins profitent ils de cette faille depuis longtemps ?

8 ans quand même.

sinon sujet déjà fait il me semble

IHATEtrouspinette · Le 17/08/2009, à 00:20

Hop,

Si l'exploit marche chez vous :

sudo -s
echo 65536 > /proc/sys/vm/mmap_min_addr

Il ne marchera plus

꙳♒⏅⚓ ЅаίԼίՈԶ ⚓⏅♒꙳ · Le 17/08/2009, à 00:20

fmr tout de suite ?

Link31 · Le 17/08/2009, à 00:26

IHATEtrouspinette a écrit :

Hop,
Si l'exploit marche chez vous :
sudo -s
echo 65536 > /proc/sys/vm/mmap_min_addr
Il ne marchera plus

En l'occurrence, la valeur 4096 (PAGE_SIZE) fonctionne tout aussi bien, et garantit une utilisation optimale de la mémoire et l'absence d'éventuels effets secondaires, ce que ne permet pas une valeur "au pif" de 65536... Pourquoi pas 4294967296 tant qu'on y est ? Avec ça, plus de risques qu'un pointeur nul se retrouve exploité

IHATEtrouspinette · Le 17/08/2009, à 00:34

Link31 a écrit :

IHATEtrouspinette a écrit :
Hop,
Si l'exploit marche chez vous :
sudo -s
echo 65536 > /proc/sys/vm/mmap_min_addr
Il ne marchera plus
En l'occurrence, la valeur 4096 (PAGE_SIZE) fonctionne tout aussi bien, et garantit une utilisation optimale de la mémoire et l'absence d'éventuels effets secondaires, ce que ne permet pas une valeur "au pif" de 65536... Pourquoi pas 4294967296 tant qu'on y est ? Avec ça, plus de risques qu'un pointeur nul se retrouve exploité

Peut-être parce que c'est la valeur par défaut sur les (versions des ) distributions non touchées par l'exploit

Link31 · Le 17/08/2009, à 00:41

IHATEtrouspinette a écrit :

Peut-être parce que c'est la valeur par défaut sur les (versions des ) distributions non touchées par l'exploit

La valeur par défaut dans le noyau officiel est 4096. Mais c'est vrai qu'une valeur de 65536 est proposée comme exemple dans la description de l'option. Pour ma part, je préfère éviter de perdre 15 pages de RAM, même si ça ne représente pas grand chose.

brakbabord · Le 17/08/2009, à 00:43

Perso j'attends la mise à jour du kernel dans Ubuntu... ça se fera tout seul.
Va falloir sûrement attendre 2 semaines alors que sur Debian ça doit déjà être bon.

ogaby · Le 17/08/2009, à 09:19

Ben pour debian, l'update est passé ce week-end mais l'exploit ne marchait pas déjà avant. Par contre, je n'ai pas trouvé d'où ça venait.

DrDam · Le 17/08/2009, à 09:56

enfin si j'ai bien suivie c'est pas réellement grave ... juste une petite faille, mais un risque élevé

JLK · Le 17/08/2009, à 11:28

DrDam a écrit :

enfin si j'ai bien suivie c'est pas réellement grave ... juste une petite faille, mais un risque élevé

Ironie inside ?

Xun · Le 17/08/2009, à 11:52

Hey, c'pas pour dire, mais vous en avez mis du temps à en parler, de cette faille de sécurité !

Vu sur planet-libre.org; je me suis dit que j'allais faire un doublon ...
Tant pis

Xun

MdMax · Le 17/08/2009, à 12:03

Pas réellement grave ? Je trouve cela grave quand même, même si Secunia ne lui accorderait qu'un niveau de dangerosité peu critique soit le niveau 2 d'une échelle qui en comporte 5. Alors c'est clair, il faut être en local pour permettre cette élévation de privilèges. Mais voilà 4 jours que la faille est connue. Toutes les distributions n'ont pas encore de correctif.

Après quand on voit que les utilisateurs tapent le mot de passe root pour tout et n'importe quoi (il suffit de les inviter à le faire), là c'est clair que cette faille ne sert finalement pas à grand chose.

MiNiShOoTeR · Le 17/08/2009, à 12:08

minishooter@minishooter-laptop:~$ uname -r
2.6.30-ARCH

MdMax a écrit :

Après quand on voit que les utilisateurs tapent le mot de passe root pour tout et n'importe quoi (il suffit de les inviter à le faire), là c'est clair que cette faille ne sert finalement pas à grand chose.

+1...

Dernière modification par MiNiShOoTeR (Le 17/08/2009, à 12:09)

DrDam · Le 17/08/2009, à 12:42

A vrai dire j'ai pas bien compris la faille ... c'est un débordement de buffer sur le noyau, non ?

Nazebrock · Le 17/08/2009, à 13:17

Ca met un peu à mal l'argument du "Avec un système libre, toute faille est détectée et corrigée de suite".

Je m'en souviendrai de cette faille tiens.

Koshie-2.0 · Le 17/08/2009, à 13:23

Nazebrock a écrit :

Ca met un peu à mal l'argument du "Avec un système libre, toute faille est détectée et corrigée de suite".
Je m'en souviendrai de cette faille tiens.

Aucun système n'est parfait, les erreurs humaines existent.

Ce serait Microsoft, ils l'auraient sûrement jamais annoncé si ils avaient le choix, sur un système libre au moins c'est dit, on assume et le libre restent plus efficace en terme de sécurité.

Surtout que pratiquemment tous le monde sur les systèmes libres mettent à jour leur système (je me trompe ?) alors que sous Windows pleins de gens s'en fichent et ne le font pas, donc ils restent avec une faille pendant très longtemps et ne la corrigerons probablement jamais, ce sera fait si ils achètent une version de Windows qui a été corrigé.

Moi ce qui me fait doucement rire c'est les Windosiens qui disent que si ils ont plus de virus et de problèmes c'est parce que Windows est plus utilisé et donc les crackers et autre kikoololz attaquent plus ce système.

Link31 · Le 17/08/2009, à 13:53

Nazebrock a écrit :

Ca met un peu à mal l'argument du "Avec un système libre, toute faille est détectée et corrigée de suite".
Je m'en souviendrai de cette faille tiens.

La véritable affirmation serait plutôt : "Avec un logiciel libre, toute faille détectée est corrigée tout de suite".

La faille est corrigée dans le noyau depuis déjà plusieurs jours. Si ta distribution ne fournit pas encore le patch, alors change de distribution

angus34 · Le 17/08/2009, à 14:19

bonjour!!!
a titre indicatif , quelles sont les distris qui l'ont fait ou pas ,parce que sur ubuntu rien vu!!

Xun · Le 17/08/2009, à 14:28

Il suffit de faire comme dit plus haut, ça stoppera l'exécution du script.

sudo -s
echo 4096 > /proc/sys/vm/mmap_min_addr

J'ai testé avant et apres, ça marche avant mais pas après ;o)

Xun

angus34 · Le 17/08/2009, à 14:31

Comment savoir s'il marche??

Dernière modification par angus34 (Le 18/08/2009, à 01:01)

Lordinux · Le 18/08/2009, à 10:56

Avec le noyau 2.6.28-14 en service dans 9.04 depuis quelques jours on a :

uname -a
Linux Fixe 2.6.28-14-generic #47-Ubuntu SMP Sat Jul 25 00:28:35 UTC 2009 i686 GNU/Linux
cat /proc/sys/vm/mmap_min_addr
0

Avec le noyau 2.6.28-15 disponible depuis cette nuit on a :

uname -a
Linux vor-crv-01471 2.6.28-15-generic #48-Ubuntu SMP Wed Jul 29 08:54:56 UTC 2009 i686 GNU/Linux
cat /proc/sys/vm/mmap_min_addr
65536

Donc d'après ce qui a été écrit précédemment dans ce fil je suppose que la mise à jour de cette nuit est le correctif attendu puisqu'il modifie /proc/sys/vm/mmap_min_addr. Mais ce qui m'étonne c'est que le nouveau noyau date du 29 juillet (et le paquet qui l'intègre date du 31 juillet) alors qu'il semble ici http://git.kernel.org/?p=linux/kernel/g … 45cf0f1b98 que le correctif fourni par Linus Torvalds himself date du 13 août.

J'en déduis qu'un premier correctif très simple a été préparé pour Ubuntu avant le vrai correctif. Et que ce correctif simple a été gardé au chaud en attendant une éventuelle diffusion publique de la faille qui était déjà connue par certains...
Qu'en pensez-vous ?

angus34 · Le 18/08/2009, à 13:07

Ce matin j'ais eu la mise a jour du noyau je l'ais faite mais elle n'a pas été prise en compte je suis toujours au 2.6.28.14????

Xun · Le 18/08/2009, à 13:34

La MAJ du noyau se fait en 2.6.28-15.

Xun

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 16/08/2009, à 23:00

Faille critique du kernel permettant un acces root

#2 Le 17/08/2009, à 00:03

Re : Faille critique du kernel permettant un acces root

#3 Le 17/08/2009, à 00:05

Re : Faille critique du kernel permettant un acces root

#4 Le 17/08/2009, à 00:20

Re : Faille critique du kernel permettant un acces root

#5 Le 17/08/2009, à 00:20

Re : Faille critique du kernel permettant un acces root

#6 Le 17/08/2009, à 00:26

Re : Faille critique du kernel permettant un acces root

#7 Le 17/08/2009, à 00:34

Re : Faille critique du kernel permettant un acces root

#8 Le 17/08/2009, à 00:41

Re : Faille critique du kernel permettant un acces root

#9 Le 17/08/2009, à 00:43

Re : Faille critique du kernel permettant un acces root

#10 Le 17/08/2009, à 09:19

Re : Faille critique du kernel permettant un acces root

#11 Le 17/08/2009, à 09:56

Re : Faille critique du kernel permettant un acces root

#12 Le 17/08/2009, à 11:28

Re : Faille critique du kernel permettant un acces root

#13 Le 17/08/2009, à 11:52

Re : Faille critique du kernel permettant un acces root

#14 Le 17/08/2009, à 12:03

Re : Faille critique du kernel permettant un acces root

#15 Le 17/08/2009, à 12:08

Re : Faille critique du kernel permettant un acces root

#16 Le 17/08/2009, à 12:42

Re : Faille critique du kernel permettant un acces root

#17 Le 17/08/2009, à 13:17

Re : Faille critique du kernel permettant un acces root

#18 Le 17/08/2009, à 13:23

Re : Faille critique du kernel permettant un acces root

#19 Le 17/08/2009, à 13:53

Re : Faille critique du kernel permettant un acces root

#20 Le 17/08/2009, à 14:19

Re : Faille critique du kernel permettant un acces root

#21 Le 17/08/2009, à 14:28

Re : Faille critique du kernel permettant un acces root

#22 Le 17/08/2009, à 14:31

Re : Faille critique du kernel permettant un acces root

#23 Le 18/08/2009, à 10:56

Re : Faille critique du kernel permettant un acces root

#24 Le 18/08/2009, à 13:07

Re : Faille critique du kernel permettant un acces root

#25 Le 18/08/2009, à 13:34

Re : Faille critique du kernel permettant un acces root

Pied de page des forums