IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

KDE Plasma : l’environnement de bureau permet l’exécution de code arbitraire à partir d’une clé USB


Sujet :

Sécurité

  1. #1
    Chroniqueur Actualités
    Avatar de Patrick Ruiz
    Homme Profil pro
    Redacteur web
    Inscrit en
    février 2017
    Messages
    1 613
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Cameroun

    Informations professionnelles :
    Activité : Redacteur web
    Secteur : Communication - Médias

    Informations forums :
    Inscription : février 2017
    Messages : 1 613
    Points : 46 399
    Points
    46 399
    Par défaut KDE Plasma : l’environnement de bureau permet l’exécution de code arbitraire à partir d’une clé USB
    KDE Plasma : l’environnement de bureau permet l’exécution de code arbitraire à partir d’une clé USB
    Des correctifs sont disponibles

    Les utilisateurs de Linux qui font usage de l’environnement de bureau KDE Plasma doivent appliquer des correctifs contre une vulnérabilité qui permet l’exécution de code arbitraire à partir d’une clé USB. L’équipe KDE Plasma a mis les versions 5.8.9 et 5.12.0 à la disposition du public pour corriger la faille référencée CVE-2018-6791.

    Le problème réside dans la façon dont l’environnement de bureau interprète les noms de volume. « Lorsqu’une clé USB (formatée en VFAT) qui contient les caractères `` ou $() au sein de son nom de volume est connectée et montée au travers de l’outil de notification de connexion de périphériques (Device Notifier), il [le nom de volume] est interprété comme une commande shell », écrit l’équipe sécurité de KDE dans sa note d’information. « Un exemple de nom de volume malicieux est "$(touch b)". Ce dernier provoque la création d’un fichier appelé b au sein du répertoire home », ajoute l’équipe sécurité KDE.

    Nom : KDE device notifier.jpg
Affichages : 2113
Taille : 27,2 Ko

    Dit de façon plus simple pour les non-férus en informatique, un pirate peut insérer du code malicieux dans le nom de volume d’une clé USB et le faire exécuter sur un poste cible. Il suffit que la victime monte le périphérique (formatée pour la circonstance en VFAT par l’attaquant) au travers de KDE pour visualiser son contenu. L’équipe KDE conseille aux utilisateurs qui pour une raison ou pour une autre ne pourront pas effectuer la mise à jour de monter la clé USB via le gestionnaire de fichiers Dolphin. Une autre méthode plus adaptée aux as de l’informatique consisterait aussi à faire usage de la commande mount.

    L’exploitation de la faille requiert un accès physique au poste de la victime certes, mais quand on y pense une vulnérabilité de ce type ouvre des portes sans qu’il soit nécessaire que l’attaquant dispose de privilèges particuliers. Un pirate talentueux pourrait s’appuyer sur la véritable vulnérabilité ici qu’est l’homme pour accéder au fameux moteur d’administration Intel présent sur les cartes mères des PC. De plus en plus de fabricants s’attèlent à livrer leurs machines avec ce petit microcontrôleur situé dans le pont sud désactivé. Un accès à ce dernier permettrait alors à l’attaquant de le réactiver. De quoi se frotter les mains ensuite quand on sait que le composant aurait été réservé à des agences gouvernementales américaines pour espionner les possesseurs d’ordinateurs à base de processeurs Intel livrés après 2008.

    Source

    KDE

    Votre opinion

    Quels autres cas d'exploitation entrevoyez-vous ?

    Voir aussi

    La version 5.10 de l'environnement graphique KDE Plasma est disponible en téléchargement, elle embarque des améliorations à différents niveaux
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Expert éminent
    Avatar de transgohan
    Homme Profil pro
    Développeur Temps réel Embarqué
    Inscrit en
    janvier 2011
    Messages
    3 147
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Maine et Loire (Pays de la Loire)

    Informations professionnelles :
    Activité : Développeur Temps réel Embarqué

    Informations forums :
    Inscription : janvier 2011
    Messages : 3 147
    Points : 9 383
    Points
    9 383
    Par défaut
    Mais c'est... Une aberration comme faille ça...
    Tout développeur devrait comprendre qu'une fonction eval c'est pas n'importe quoi...
    J'en reste tout de même sur le cul...

    l’équipe sécurité KDE
    J'espère sincèrement que ce ne sont pas eux qui sont à l'origine de ce code... Parce que sinon ils peuvent changer de nom.

    « Toujours se souvenir que la majorité des ennuis viennent de l'espace occupé entre la chaise et l'écran de l'ordinateur. »
    « Le watchdog aboie, les tests passent »

  3. #3
    Membre émérite

    Homme Profil pro
    Développeur informatique
    Inscrit en
    octobre 2013
    Messages
    1 009
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Conseil

    Informations forums :
    Inscription : octobre 2013
    Messages : 1 009
    Points : 2 474
    Points
    2 474
    Par défaut
    Avoir un accès physique à la machine n'est pas si compliqué.
    Je trouve qu'on minimise trop cela.

    Je me rappelle que souvent en entretien, j'avais droit à la face arrière de l'ordinateur, de mon interlocuteur avec les ports USB en évidences et le ventilateur me soufflant de l'air chaud , super agréable en été .

    Il suffit de distraire le type et de brancher une mini clef en douce, un modèle bien discret.
    Il y a juste le problème du son joué par windows à la connexion d'un nouveau périphériques USB

    Si il s'absente c'est encore plus simple.
    Ce n'étais pas rare, qu'il y en est qui sorte pour répondre sur leur téléphone portable

    Il faudrait condamner les port USB qui ne servent pas sur la face arrière.
    Mais je suis peut être un peu parano

    Bien sûr je ne l'ai jamais fait et je ne le ferai pas
    Consultez mes articles sur l'accessibilité numérique :

    Comment rendre son application SWING accessible aux non voyants
    Créer des applications web accessibles à tous

    YES WE CAN BLANCHE !!!

    Rappelez-vous que Google est le plus grand aveugle d'Internet...
    Plus c'est accessible pour nous, plus c'est accessible pour lui,
    et meilleur sera votre score de référencement !

  4. #4
    Membre confirmé Avatar de a028762
    Homme Profil pro
    Retraité
    Inscrit en
    décembre 2003
    Messages
    419
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Yvelines (Île de France)

    Informations professionnelles :
    Activité : Retraité

    Informations forums :
    Inscription : décembre 2003
    Messages : 419
    Points : 537
    Points
    537
    Par défaut
    Déjà que KDE n'est pas une couche très déployée sur Linux, je vois mal un RH utiliser Linux.

Discussions similaires

  1. Réponses: 5
    Dernier message: 07/09/2017, 10h52
  2. Réponses: 0
    Dernier message: 30/06/2016, 17h27
  3. Réponses: 0
    Dernier message: 28/03/2016, 22h23
  4. Réponses: 0
    Dernier message: 23/03/2016, 18h58
  5. Réponses: 3
    Dernier message: 04/06/2014, 13h06

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo