Exploit prctl dans le noyau linux 2.6 • Link Station

Link Station > Section Technique > Réseaux / Sécurité >
[SECURITE] Exploit prctl dans le noyau linux 2.6

Aller au Forum:

ZZakathGuruNiveau 29 · CascadeurRéférenceur Aguerri

Membre depuis: 2002
Messages: 9866

Plus

Membre n°: 7213
Inscription: 15 Dec 2002
Localisation: Copenhague
Sujets lancés: 426
Ancienneté: 97 %
Participation: 92 %
Temps en ligne: 103 Jours, 6 Heures, 15 Minutes, 39 Secondes en ligne

[SECURITE] Exploit prctl dans le noyau linux 2.6 Ancien message

14-07-2006 01:25

Voilà qui remplira certainement d'aise Microsoft et consorts. Une faille a été publiée par RedHat récemment et les exploits fleurissent de toute part. Il suffit d'un accès utilisateur à une machine équippée d'un noyau linux 2.6 et d'un cron qui tourne en arrière plan (ce qui est le cas de la quasi totalité des machines) pour passer root en quelques instants. L'exploit est simplissime et disponible un peu partout.
Au nombre des victimes, debian et sourceforge.net (gentoo a tenu le coup) ainsi que d'innombrables machines. Attention particulièrement aux machines des universités si vous avez des données confidentielles, il est extrêmement probable qu'un petit malin soit déjà passé root dessus à moins que le sysadmin n'ait bien fait son boulot et changé tous les noyaux.
Je l'ai essayé sur ma machine et en deux minutes, j'étais root.

Le correctif est bien entendu sorti (amusant, le patch fait un caractère), il vous suffit de passer au noyau 2.6.16.24 ou 2.6.17.4. La branche de développement l'incluera à partir de 2.6.18-rc2.

J'ai vu plusieurs machines compromises aujourd'hui, un peu partout sur le net et ça se répand très vite avec les accès ssh, donc faites très attention si vous avez des machines sous linux !

__________________
Allez jeter un œil à mon portfolio !

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

KKeySozeModérateurNiveau 25 · Chef opérateurRéférenceur Aguerri

Membre depuis: 2002
Messages: 6370

Plus

Membre n°: 4449
Inscription: 15 Sep 2002
Localisation: IDF
Âge: 42 ans
Sujets lancés: 603
Ancienneté: 98 %
Participation: 85 %
Temps en ligne: 46 Jours, 18 Heures, 58 Minutes, 16 Secondes en ligne

14-07-2006 02:06

Tiens, après OpenOffice, Linux, ça devient de plus en plus intéressant.

Le patch est sorti combien de temps après la découverte de la faille ?

Ps : ubuntu est touché donc ?

__________________
OXMO : On est plus intelligent à plusieurs que tout seul...mais certains aident moins que d'autres

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

RRhEcKGuruNiveau 19 · ChroniqueurRéférenceur Novice

Membre depuis: 2002
Messages: 7657

Plus

Membre n°: 5548
Inscription: 31 Oct 2002
Localisation: amiens
Âge: 42 ans
Sujets lancés: 66
Ancienneté: 98 %
Participation: 88 %
Temps en ligne: 23 Jours, 18 Heures, 29 Minutes, 34 Secondes en ligne

Re: [ACTU] Exploit prctl dans le noyau linux 2.6 Ancien message

14-07-2006 09:59

Message écrit par Zakath, le 14-07-2006 à 01:25

Le correctif est bien entendu sorti

rien qu'en lisant ca, on sait qu'on est pas sous windows

__________________
mess with the best, die like the rest

<<~~=!!!RhEcK!!!=~~>>

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

ZZakathGuruNiveau 29 · CascadeurRéférenceur Aguerri

Membre depuis: 2002
Messages: 9866

Plus

Membre n°: 7213
Inscription: 15 Dec 2002
Localisation: Copenhague
Sujets lancés: 426
Ancienneté: 97 %
Participation: 92 %
Temps en ligne: 103 Jours, 6 Heures, 15 Minutes, 39 Secondes en ligne

14-07-2006 11:26

Le patch est sorti quelques heures (peut-être même moins d'une heure) après découverte de la faille.

Et oui, bien sûr qu'ubuntu est touché. Fais uname -r pour savoir la version de ton noyau.

__________________
Allez jeter un œil à mon portfolio !

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

soul^keeper

AdministrateurNiveau 50 · OscariséRéférenceur Légendaire

Membre depuis: 2002
Messages: 17300

Plus

Membre n°: 1
Inscription: 22 Feb 2002
Localisation: La Défense
Âge: 49 ans
Sujets lancés: 2916
Ancienneté: 100 %
Participation: 100 %
Temps en ligne: 102 Jours, 20 Heures, 11 Minutes, 34 Secondes en ligne

16-07-2006 01:27

déplacé dans la bonne section (securité) et retaggué

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

ZZakathGuruNiveau 29 · CascadeurRéférenceur Aguerri

Membre depuis: 2002
Messages: 9866

Plus

Membre n°: 7213
Inscription: 15 Dec 2002
Localisation: Copenhague
Sujets lancés: 426
Ancienneté: 97 %
Participation: 92 %
Temps en ligne: 103 Jours, 6 Heures, 15 Minutes, 39 Secondes en ligne

16-07-2006 01:31

J'en profite pour rajouter une deuxième faille, indépendante, qui touche /proc. J'ai suivi ça en direct hier soir, pas plus de 2 heures entre la publication et le patch dans le noyau.
En attendant de rebooter sous le nouveau 2.6.17.6, un fix rapide est de

Code

mount -o remount,nosuid,noexec /proc

(qui sera de toutes manières par défaut dans toutes les distros d'ici peu).

__________________
Allez jeter un œil à mon portfolio !

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

ZzevinceMaitreNiveau 11 · CinéphileRéférenceur Novice

Membre depuis: 2003
Messages: 3439

Plus

Membre n°: 10414
Inscription: 08 Mar 2003
Âge: 54 ans
Sujets lancés: 23
Ancienneté: 96 %
Participation: 73 %
Temps en ligne: 11 Jours, 10 Heures, 42 Minutes, 24 Secondes en ligne

17-07-2006 10:40

merci pour l'info.. mais ca n'est pas mis a jour avec les apt-get update && apt-get upgrade, ca ?

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

SSchoubiGuruNiveau 42 · ScénaristeRéférenceur Émérite

Membre depuis: 2002
Messages: 12627

Plus

Membre n°: 566
Inscription: 10 Mar 2002
Âge: 47 ans
Sujets lancés: 1428
Ancienneté: 100 %
Participation: 97 %
Temps en ligne: 48 Jours, 18 Heures, 48 Minutes, 8 Secondes en ligne

17-07-2006 18:48

Pas pour l'instant

(en tout cas pas pour Ubuntu, ni pour Debian (qui est toujours en 2.4 si vous n'avez pas touché au noyau....) )

Dans le doute je deconnecte mon serveur en attendant la mise à jour des miroirs (parano quand tu nous tiens

)

Merci pour l'info Zakath

[edit] Liste complète des systèmes vulnérables

Citation

Vulnerable: Ubuntu Ubuntu Linux 5.10 sparc
Ubuntu Ubuntu Linux 5.10 powerpc
Ubuntu Ubuntu Linux 5.10 i386
Ubuntu Ubuntu Linux 5.10 amd64
Ubuntu Ubuntu Linux 5.0 4 powerpc
Ubuntu Ubuntu Linux 5.0 4 i386
Ubuntu Ubuntu Linux 5.0 4 amd64
Ubuntu Ubuntu Linux 6.06 LTS sparc
Ubuntu Ubuntu Linux 6.06 LTS powerpc
Ubuntu Ubuntu Linux 6.06 LTS i386
Ubuntu Ubuntu Linux 6.06 LTS amd64
S.u.S.E. SUSE Linux Enterprise Server 10
S.u.S.E. SUSE Linux Enterprise Desktop 10
S.u.S.E. Open-Enterprise-Server 9.0
S.u.S.E. Novell Linux Desktop 9.0
S.u.S.E. Linux Professional 10.0 OSS
S.u.S.E. Linux Professional 10.0
S.u.S.E. Linux Professional 10.1
S.u.S.E. Linux Personal 10.0 OSS
S.u.S.E. Linux Personal 10.1
S.u.S.E. Linux Enterprise Server 9
rPath rPath Linux 1
RedHat Enterprise Linux WS 4
RedHat Enterprise Linux ES 4
RedHat Enterprise Linux AS 4
RedHat Desktop 4.0
Linux kernel 2.6.17 .3
Linux kernel 2.6.17 .1
Linux kernel 2.6.17 -rc5
Linux kernel 2.6.17
Linux kernel 2.6.16 13
Linux kernel 2.6.16 .9
Linux kernel 2.6.16 .7
Linux kernel 2.6.16 .23
Linux kernel 2.6.16 .19
Linux kernel 2.6.16 .12
Linux kernel 2.6.16 .11
Linux kernel 2.6.16 .1
Linux kernel 2.6.16 -rc1
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.16
Linux kernel 2.6.15 .4
Linux kernel 2.6.15 .3
Linux kernel 2.6.15 .2
Linux kernel 2.6.15 .1
Linux kernel 2.6.15 -rc3
Linux kernel 2.6.15 -rc2
Linux kernel 2.6.15 -rc1
Linux kernel 2.6.15
Linux kernel 2.6.15
Linux kernel 2.6.15
Linux kernel 2.6.15
Linux kernel 2.6.15
Linux kernel 2.6.14 .5
Linux kernel 2.6.14 .4
Linux kernel 2.6.14 .3
Linux kernel 2.6.14 .2
Linux kernel 2.6.14 .1
Linux kernel 2.6.14 -rc4
Linux kernel 2.6.14 -rc3
Linux kernel 2.6.14 -rc2
Linux kernel 2.6.14 -rc1
Linux kernel 2.6.14
Linux kernel 2.6.13 .4
Linux kernel 2.6.13 .3
Linux kernel 2.6.13 .2
Linux kernel 2.6.13 .1
Linux kernel 2.6.13 -rc7
Linux kernel 2.6.13 -rc6
Linux kernel 2.6.13 -rc4
Linux kernel 2.6.13 -rc1
Linux kernel 2.6.13
Linux kernel 2.6.12 .6
Linux kernel 2.6.12 .5
Linux kernel 2.6.12 .4
Linux kernel 2.6.12 .3
Linux kernel 2.6.12 .2
Linux kernel 2.6.12 .1
Linux kernel 2.6.12 -rc5
Linux kernel 2.6.12 -rc4
Linux kernel 2.6.12 -rc1
Linux kernel 2.6.12
Linux kernel 2.6.11 .8
Linux kernel 2.6.11 .7
Linux kernel 2.6.11 .6
Linux kernel 2.6.11 .5
Linux kernel 2.6.11 .12
Linux kernel 2.6.11 .11
Linux kernel 2.6.11 -rc4
Linux kernel 2.6.11 -rc3
Linux kernel 2.6.11 -rc2
Linux kernel 2.6.11
+ RedHat Fedora Core4
Linux kernel 2.6.10 rc2
Linux kernel 2.6.10
+ RedHat Fedora Core3
+ RedHat Fedora Core2
+ Trustix Secure Linux 3.0
+ Ubuntu Ubuntu Linux 5.0 4 powerpc
+ Ubuntu Ubuntu Linux 5.0 4 i386
+ Ubuntu Ubuntu Linux 5.0 4 amd64
Linux kernel 2.6.9
Linux kernel 2.6.8 rc3
Linux kernel 2.6.8 rc2
Linux kernel 2.6.8 rc1
+ Ubuntu Ubuntu Linux 4.1 ppc
+ Ubuntu Ubuntu Linux 4.1 ia64
+ Ubuntu Ubuntu Linux 4.1 ia32
Linux kernel 2.6.8
Linux kernel 2.6.7 rc1
Linux kernel 2.6.7
Linux kernel 2.6.6 rc1
Linux kernel 2.6.6
Linux kernel 2.6.5
Linux kernel 2.6.4
Linux kernel 2.6.3
Linux kernel 2.6.2
Linux kernel 2.6.1 -rc2
Linux kernel 2.6.1 -rc1
Linux kernel 2.6.1
Linux kernel 2.6 .10
Linux kernel 2.6 -test9-CVS
Linux kernel 2.6 -test9
Linux kernel 2.6 -test8
Linux kernel 2.6 -test7
Linux kernel 2.6 -test6
Linux kernel 2.6 -test5
Linux kernel 2.6 -test4
Linux kernel 2.6 -test3
Linux kernel 2.6 -test2
Linux kernel 2.6 -test11
Linux kernel 2.6 -test10
Linux kernel 2.6 -test1
Linux kernel 2.6
Linux kernel 2.6.15.5

__________________

Edité par Schoubi le 17-07-2006 à 19:02

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

SSchoubiGuruNiveau 42 · ScénaristeRéférenceur Émérite

Membre depuis: 2002
Messages: 12627

Plus

Membre n°: 566
Inscription: 10 Mar 2002
Âge: 47 ans
Sujets lancés: 1428
Ancienneté: 100 %
Participation: 97 %
Temps en ligne: 48 Jours, 18 Heures, 48 Minutes, 8 Secondes en ligne

Re: [SECURITE] Exploit prctl dans le noyau linux 2.6 Ancien message

18-07-2006 18:59

Petite précision,

Message écrit par Zakath, le 14-07-2006 à 01:25

Il suffit d'un accès utilisateur à une machine

Ca limite déjà beaucoup la vulnérabilité de la dite-machine

Cette faille est classée comme non-exploitable à distance par beaucoup de sites

__________________

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

ZZakathGuruNiveau 29 · CascadeurRéférenceur Aguerri

Membre depuis: 2002
Messages: 9866

Plus

Membre n°: 7213
Inscription: 15 Dec 2002
Localisation: Copenhague
Sujets lancés: 426
Ancienneté: 97 %
Participation: 92 %
Temps en ligne: 103 Jours, 6 Heures, 15 Minutes, 39 Secondes en ligne

18-07-2006 20:48

Oui, car elles sont toutes les deux non-exploitables à distance, en effet. Mais le problème, c'est qu'il suffit de pirater le compte d'un utilisateur qui y a accès pour tout casser. C'est ce qui s'est passé avec un développeur debian. Quant à sourceforge, ils me semblent qu'ils donnent des accès ssh à tout le monde de toute manière...

__________________
Allez jeter un œil à mon portfolio !

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

JJohnny89ConfirméNiveau 6 · Cinéphage

Membre depuis: 2002
Messages: 873

Plus

Membre n°: 4915
Inscription: 08 Oct 2002
Localisation: Nouvelle France
Âge: 44 ans
Sujets lancés: 1
Ancienneté: 98 %
Participation: 49 %
Temps en ligne: 9 Jours, 10 Heures, 34 Minutes, 36 Secondes en ligne

19-07-2006 01:40

Faut pas en faire un drame. On prend les précaution nécessaire. Et on update... Avec $Krosoft on a pas mal plus de failles ...

__________________

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

KkristofExpertNiveau 13 · Collectionneur DVDRéférenceur Assidu

Membre depuis: 2006
Messages: 1980

Plus

Membre n°: 13679
Inscription: 15 Jan 2006
Localisation: neuf cinq
Âge: 50 ans
Sujets lancés: 160
Ancienneté: 85 %
Participation: 64 %
Temps en ligne: 31 Jours, 12 Heures, 10 Minutes, 47 Secondes en ligne

25-07-2006 17:50

J'ai testé => IMPRESSIONNANT

Aucune de mes machines n'est à jour, mais une autre possibilité de sécuriser temporairement est d'empêcher le chdir sur /etc/logrotate.d

@Zakath et à tous : qu'en pensez-vous ?

Pour ceux que ça intéresse, le patch est le suivant :

Code

--- kernel/sys.c
+++ kernel/sys.c
@@ -1991,7 +1991,7 @@ asmlinkage long sys_prctl(int option, un
		error = current->mm->dumpable;
		break;
	case PR_SET_DUMPABLE:
		- if (arg2 < 0 || arg2 > 2) {
		+ if (arg2 < 0 || arg2 > 1) {
			error = -EINVAL;
			break;
		}

Edit : la faille ne fonctionne pas sur ma gentoo perso

__________________

The Unix way of sex => unzip; strip; touch; finger; mount; fsck; more; yes; gasp; umount; sleep
Quand on pense que 53% des français pensent comme Steevy et Doc Gynéco, ça fait froid dans le slip
Ceux qui sont prêts à sacrifier une liberté essentielle pour acheter une sûreté passagère, ne méritent ni l'une ni l'autre - Benjamin Franklin

Edité par kristof le 25-07-2006 à 18:13

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

ZZakathGuruNiveau 29 · CascadeurRéférenceur Aguerri

Membre depuis: 2002
Messages: 9866

Plus

Membre n°: 7213
Inscription: 15 Dec 2002
Localisation: Copenhague
Sujets lancés: 426
Ancienneté: 97 %
Participation: 92 %
Temps en ligne: 103 Jours, 6 Heures, 15 Minutes, 39 Secondes en ligne

25-07-2006 18:48

Tant qu'à faire, patche ton noyau ou change de version (il y a une autre faille ailleurs).
Ca ne fait pas de mal d'être à jour et même si empêcher le chdir sur logrotate.d inactivera cet exploit, la faille sera toujours là et donc potentiellement exploitable.

__________________
Allez jeter un œil à mon portfolio !

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

KkristofExpertNiveau 13 · Collectionneur DVDRéférenceur Assidu

Membre depuis: 2006
Messages: 1980

Plus

Membre n°: 13679
Inscription: 15 Jan 2006
Localisation: neuf cinq
Âge: 50 ans
Sujets lancés: 160
Ancienneté: 85 %
Participation: 64 %
Temps en ligne: 31 Jours, 12 Heures, 10 Minutes, 47 Secondes en ligne

25-07-2006 21:22

Entièrement d'accord, mais le truc c'est que ça va me prendre un bout de temps pour le déploiement
Et je cherche une solution temporaire comme je l'ai écrit dans mon préc message

__________________

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

Il est actuellement 19:17 (GMT)

NOUVEAU SUJET

RÉPONDRE

Sujet précédent Sujet suivant

Link Station > Section Technique > Réseaux / Sécurité > [SECURITE] Exploit prctl dans le noyau linux 2.6

Aller au Forum:

Afficher une version imprimable |

Chercher dans ce sujet |

Envoyer cette page par email |

S'inscrire à ce sujet |

Télécharger ce sujet

Règles du forum :

Créer de nouveaux sujets
Répondre aux messages
Attacher des fichiers
Editer vos messages

: not autorisé
: not autorisé
: not autorisé
: not autorisé

Le Code HTML est OFF
Le BBCode est ON
Les Smileys sont ONs
Le code [IMG] est ON

Page générée en 0.072664 secondes en exécutant 50 requêtes SQL.
Apache - Compression GZIP : Activée.