Une faille de sécurité dans le pare-feu Linux Netfilter a été détectée
Que c'est embarrassant! Il s'avère qu'une faille de sécurité se cache dans le programme de pare-feu netfilter de Linux.
Derrière presque tous les outils de pare-feu Linux tels que iptables ; sa version la plus récente, nftables ; pare-feu ; et ufw, est netfilter, qui contrôle l'accès vers et depuis la pile réseau de Linux. Il s'agit d'un programme de sécurité Linux essentiel, donc lorsqu'une faille de sécurité y est découverte, c'est un gros problème.
Nick Gregory, chercheur en menaces chez Sophos, a découvert cette faille récemment en vérifiant netfilter pour déceler d'éventuels problèmes de sécurité. Gregory explique en détail sa chasse aux bogues, et je le recommande à ceux qui veulent avoir un aperçu de la recherche des erreurs C. Mais, pour ceux d’entre vous qui veulent juste aller droit au but, voici l’histoire.
C'est un bug sérieux. Plus précisément, il s'agit d'un problème d'écriture hors limites avec le filtre réseau du noyau. Gregory a déclaré qu'il était "exploitable pour réaliser l'exécution du code du noyau (via ROP [programmation orientée retour]), donnant une élévation complète des privilèges locaux, un échappement de conteneur, tout ce que vous voulez." Beurk !
Ce problème existe car netfilter ne gère pas correctement sa fonctionnalité de déchargement matériel. Un attaquant local sans privilèges peut utiliser cela pour provoquer un déni de service (DoS), exécuter du code arbitraire et provoquer un chaos général. Pour couronner le tout, cela fonctionne même si le matériel attaqué ne dispose pas de fonctionnalité de déchargement ! En effet, comme Gregory l'a écrit dans une liste de sécurité : « Bien qu'il s'agisse d'un code traitant du déchargement matériel, cela est accessible en ciblant des périphériques réseau qui n'ont pas de fonctionnalité de déchargement (par exemple lo), car le bogue est déclenché avant l'échec de la création de la règle. "
Cette vulnérabilité est présente dans les versions 5.4 à 5.6.10 du noyau Linux. Il est répertorié comme vulnérabilités et expositions communes (CVE-2022-25636) et avec un score CVSS (Common Vulnerability Scoring System) de 7,8), c'est un véritable méchant.
Quel mauvais? Dans son avis, Red Hat a déclaré : "Cette faille permet à un attaquant local disposant d'un compte utilisateur sur le système d'accéder à une mémoire hors limites, entraînant un crash du système ou une menace d'élévation de privilèges." Alors oui, c'est mauvais.
Pire encore, cela affecte les versions récentes des distributions majeures telles que Red Hat Enterprise Linux (RHEL) 8.x ; Debian Bullseye; Ubuntu Linux et SUSE Linux Enterprise 15.3. Bien que le correctif netfilter du noyau Linux ait été créé, le correctif n'est pas encore disponible dans toutes les versions de distribution.
Si vous n'avez pas encore de correctif, vous pouvez atténuer le problème dans la famille RHEL avec les commandes :
# echo 0 > /proc/sys/user/max_user_namespaces
# sudo sysctl --système
Et, dans la famille Debian/Ubuntu avec la commande :
$sudo sysctl kernel.unprivileged_userns_clone=0
Nous voilà donc à nouveau. Je n'ai pas vu un bon exploit de ceci, mais j'en ai vu un qui fonctionne environ la moitié du temps. Si vous ne voulez pas voir vos serveurs Linux volés sous vos pieds ou simplement supprimés du réseau, il est temps de patcher votre système ou de le verrouiller pour éviter les problèmes.
Voir aussi