Un chercheur en sécurité révèle des failles zero day sur Fedora et Ubuntu

Version imprimable

Voir 40 message(s) de cette discussion en une page

18/12/2016, 09h21
Coriolan

Un chercheur en sécurité révèle des failles zero day sur Fedora et Ubuntu

Un chercheur en sécurité révèle des failles zero day sur Fedora et Ubuntu
Remettant en question la sécurité des systèmes Linux

Si vous utilisez une des distributions populaires de Linux comme Ubuntu et Fedora (y compris la dernière version Fedora 25 publiée récemment), il y a de fortes chances que vous soyez vulnérable à des failles zero-day décelées par Chris Evans. Si elles sont dument exploitées, ces vulnérabilités permettent de mettre à mal la sécurité des utilisateurs de Linux à travers la manipulation d’un simple fichier audio. Ces failles sont d'autant plus intéressantes puisqu’elles remettent en question la prétention selon laquelle Linux serait plus robuste face à ces types d’attaques qui ont hanté les utilisateurs de Windows pendant plus d’une décennie et qui ont commencé à prendre en piège les utilisateurs du Mac également ces dernières années.

Le chercheur de sécurité Chris Evans a publié dans un billet de blog les détails concernant ces vulnérabilités qui pourraient être utilisées pour compromettre la sécurité des systèmes tournant sous Linux. Bien que ces attaques ne devraient pas menacer les serveurs Linux, elles sont susceptibles de compromettre la sécurité de l’ensemble des versions desktop de Linux qui sont largement adoptées par les employés de grandes firmes, telles que Google, Facebook dans le but d’éviter les entraves à la sécurité que ça soit dans Windows ou MacOS.

Selon les détails présentés par Chris Evans, le simple fait d’ouvrir un fichier de musique permettra de mener des attaques sur des machines Linux. Et si par hasard un utilisateur de Fedora 25 (la dernière version de la distribution) utilise Chrome, l’attaquant pourra exécuter à distance le code malicieux. Une des vulnérabilités qui permettent ces attaques exploite une faille dans une bibliothèque logicielle connue sous le nom Game Music Emu et qui est utilisée pour émuler la musique des consoles de jeux vidéos comme la SNES.

Un fichier .spc, créé spécialement pour la SNES, peut être utilisé pour exécuter n’importe quel code malicieux. En renommant ce fichier en .flac ou .mp3, les utilisateurs seront amenés à exécuter ce code. Et justement, le fichier .flac permet de mener une attaque de type drive-by quand un utilisateur de Fedora 25 visite une page web piégée. Rien qu’en cliquant sur le fichier, le fichier ouvre la calculatrice. Avec une modification, il pourra charger n’importe quel code et l’exécuter avec les mêmes privilèges système accordés à l’utilisateur. Une telle attaque peut par exemple servir à lire et dérober les données personnelles de l’utilisateur comme ses documents, photos, e-mails et l’historique de chat. L’attaquant pourra aussi mettre la main sur les cookies du navigateur et les sessions de Gmail, Facebook, Twitter et les autres sites. Pire encore, si l’attaquant arrive à acquérir les privilèges root, il aura le contrôle total du système et l’attaque va persister même après des redémarrages consécutifs.

https://www.youtube.com/watch?v=WKwRijjqdzY

Une démo similaire montre comment l’attaque marche également sur Ubuntu :

https://www.youtube.com/watch?v=wrCLoem6ggM

Evans a expliqué que l’origine de ces failles est le non-recours au sandboxing (bac à sable) pour l'exécution de logiciels avec moins de risques pour le système d'exploitation. Selon lui, cette technique devrait être obligatoire de nos jours. Il a tenu à rappeler également que sa démonstration a été tenue exclusivement sur Fedora et Ubuntu, mais d’autres distributions seraient probablement concernées aussi.

Source : Scarybeastsecurity

Et vous ?

:fleche: Qu'en pensez-vous ?

Voir aussi :

:fleche: Forum Sécurité
18/12/2016, 12h44
BufferBob

Citation:

Envoyé par Coriolan

Un chercheur de sécurité révèle des failles zero day sur Fedora et Ubuntu remettant en question la sécurité des systèmes Linux

c'est sans doute pas une nouvelle hyper transcendante (des 0days y'en a toujours eu sur tous les systèmes et ça fait des années qu'on sait que Windows est la cible privilégiée des chercheurs en sécu), à part peut-être pour Aeson qui verra là à coup sûr l'occasion d'alimenter abondamment le conflit imaginaire et stérile Windows VS Linux
19/12/2016, 06h32
bloginfo

Une faille Chrome !

En fait, si j'ai bien compris, il s'agit d'une faille touchant Chrome sur Linux ! La parade est simple : ne pas utiliser Chrome.
19/12/2016, 06h59
Matthieu Vergne

Citation:

Envoyé par bloginfo

En fait, si j'ai bien compris, il s'agit d'une faille touchant Chrome sur Linux ! La parade est simple : ne pas utiliser Chrome.

Non, justement. La faille est sur la lecture de faux fichiers de musique, gérés par un programme bel et bien installé sur la machine. Chrome permet juste de profiter à distance de l'exploit (en accédant au faux fichier depuis une page Web).
19/12/2016, 08h52
JackJnr

Citation:

Envoyé par BufferBob

c'est sans doute pas une nouvelle hyper transcendante (des 0days y'en a toujours eu sur tous les systèmes et ça fait des années qu'on sait que Windows est la cible privilégiée des chercheurs en sécu), à part peut-être pour Aeson qui verra là à coup sûr l'occasion d'alimenter abondamment le conflit imaginaire et stérile Windows VS Linux

Je suis d'accord avec toi, mais ce passage me semble le plus éloquent :

Citation:

Pire encore, si l’attaquant arrive à acquérir les privilèges root, il aura le contrôle total du système et l’attaque va persister même après des redémarrages consécutifs
19/12/2016, 09h04
Matthieu Vergne

Mais c'est à la condition d'obtenir lesdits privilèges. On ne parle pas d'un exploit qui permette de les obtenir, seulement que si un utilisateur tourne en root (alors qu'il n'est pas censé en avoir besoin pour écouter de la musique ou parcourir le Web) il prend les risques habituels qu'on reproche à Windows et pas à Linux.
19/12/2016, 09h09
Xerthes

Un peu de bruit

Certes, c'est une faille 0Day. Mais c'est un peu faiblard pour crier sur la sécurité de Linux. C'est plutôt une bibliothèque audio (donc peut de risque sur les serveurs) qui est incriminé et pas vraiment notre p'tit Manchot
19/12/2016, 09h42
bloginfo

Avec quel autre logiciel ?

Avec quel autre logiciel, cet "exploit" est-il possible ?
19/12/2016, 09h42
Tagashy

Cette vulnérabilité est deja vielle de 2 ou 3 semaines et il me semble qu'un patch est deja disponible.
Pour ceux que ca intéresse la vuln se base sur le fait que les lecteurs de musique ne se base pas sur l'extension de fichier (.mp3 .flac etc ...) mais sur une analyse des header du fichier pour detecter le codec a utilisé.
19/12/2016, 10h20
imikado

Je confirme pour le patch:
http://news.softpedia.com/news/game-...w-511022.shtml

Citation:

As of December 15, 2016, Game Music Emulator 0.6.1 is available and fully patched against the security flaw mentioned above. It also looks like the Debian and Ubuntu developers have updated the game-music-emu packages for Debian GNU/Linux 8 "Jessie", Debian Sid, Ubuntu 12.04 LTS, 14.04 LTS, 16.04 LTS, 16.10, and 17.04.

A peine publiée mais déjà patchée depuis 4 jours ;)
19/12/2016, 10h22
TiranusKBX

Citation:

Envoyé par Tagashy

Cette vulnérabilité est deja vielle de 2 ou 3 semaines et il me semble qu'un patch est deja disponible.
Pour ceux que ca intéresse la vuln se base sur le fait que les lecteurs de musique ne se base pas sur l'extension de fichier (.mp3 .flac etc ...) mais sur une analyse des header du fichier pour detecter le codec a utilisé.

Il est vrai qu'il faut une correspondance des deux pour être sûr de la légitimité d'un fichier, en l'absence de la correspondance il faudrait afficher un message d'erreur pour éviter les ennuis aux utilisateurs
19/12/2016, 10h24
imikado

Citation:

Envoyé par TiranusKBX

Il est vrai qu'il faut une correspondance des deux pour être sûr de la légitimité d'un fichier, en l'absence de la correspondance il faudrait afficher un message d'erreur pour éviter les ennuis aux utilisateurs

Je suis d'accord que tout système devrait avertir d'une incohérence de ce type, ça éviterait bien des soucis ;)
19/12/2016, 10h35
Matthieu Vergne

Citation:

Envoyé par imikado

Je confirme pour le patch:
http://news.softpedia.com/news/game-...w-511022.shtml

A peine publiée mais déjà patchée depuis 4 jours ;)

Voilà le genre de chose qu'on ne voit pas sous Windows, et pourquoi ceux qui cherchent des poux à Linux sur cet aspect peuvent aller se recoucher.

Troll assumé. {^_^}v

Citation:

Envoyé par imikado

Je suis d'accord que tout système devrait avertir d'une incohérence de ce type, ça éviterait bien des soucis ;)

De même pour moi.
19/12/2016, 10h47
AoCannaille

Citation:

Envoyé par imikado

Je suis d'accord que tout système devrait avertir d'une incohérence de ce type, ça éviterait bien des soucis ;)

Sur le concept je suis d'accord, en particulier d'un point de vue développeur, mais en tant qu'ergonome, remonter des erreurs techniques à la tête de l'utilisateur est pas spécialement agréable...
19/12/2016, 11h02
Matthieu Vergne

Citation:

Envoyé par AoCannaille

Sur le concept je suis d'accord, en particulier d'un point de vue développeur, mais en tant qu'ergonome, remonter des erreurs techniques à la tête de l'utilisateur est pas spécialement agréable...

Tout est une question de présentation : on peut simplement dire que le fichier se présente comme étant de type A mais que son contenu montre qu'il est de type B, et donc qu'il est possible que le fichier soit corrompu ou qu'il ait un but différent de celui attendu par l'utilisateur. De là tu demandes la confirmation de l'ouverture/exécution. C'est du même acabit qu'un fichier zip corrompu : tu informes l'utilisateur dans un langage non technique en disant que le fichier est corrompu et donc ne peut pas être décompressé. La seule différence est qu'au lieu d'un unique "OK" tu donnes le choix entre ne pas lancer le fichier, le lancer en tant que A, ou le lancer en tant que B. N'importe quel utilisateur lambda arrêtera par peur ou forcera le lancement comme fichier de musique (qui ne marchera pas et donc arrêtera). Seuls les quelques aventuriers tenteront bêtement le type réel.

Quand on a un choix à faire, si on manque d'information c'est généralement le statu quo qui gagne, donc je ne doute pas que le simple fait de signaler cette incohérence suffirait a drastiquement réduire les risques.
19/12/2016, 11h39
Max Lothaire

Il faudrait revoir la manière dont on choisit les titres et les sous-titres.
Ici, ça donne l'impression que cette faille suffirait à elle seule à mettre ces distribution à la poubelle. S'il suffisait d'une vulnérabilité de ce genre pour faire ça, Windows ne serait plus qu'un vague souvenir depuis presque trente ans.

Je veux bien que l'on doit attirer le lecteur, mais là ça ressemble à un appât à troll :ptdr:.
19/12/2016, 14h39
Squisqui

Citation:

Envoyé par Matthieu Vergne

Tout est une question de présentation : on peut simplement dire que le fichier se présente comme étant de type A mais que son contenu montre qu'il est de type B, et donc qu'il est possible que le fichier soit corrompu ou qu'il ait un but différent de celui attendu par l'utilisateur. De là tu demandes la confirmation de l'ouverture/exécution. C'est du même acabit qu'un fichier zip corrompu : tu informes l'utilisateur dans un langage non technique en disant que le fichier est corrompu et donc ne peut pas être décompressé. La seule différence est qu'au lieu d'un unique "OK" tu donnes le choix entre ne pas lancer le fichier, le lancer en tant que A, ou le lancer en tant que B. N'importe quel utilisateur lambda arrêtera par peur ou forcera le lancement comme fichier de musique (qui ne marchera pas et donc arrêtera). Seuls les quelques aventuriers tenteront bêtement le type réel.

Quand on a un choix à faire, si on manque d'information c'est généralement le statu quo qui gagne, donc je ne doute pas que le simple fait de signaler cette incohérence suffirait a drastiquement réduire les risques.

Non. Dans la vrai vie, l'utilisateur veut lire sa musique, il essaie, il voit le message, il annule, sa musique n'est pas lu. Ensuite, il recommence appuie sur l'autre bouton pour voir si ça marche. Pourquoi ? Parce qu'il veut lire sa musique.
Le virus le plus con du monde, c'est celui qui s'appelle "imageDeQ.jpg.exe" qui apparaît comme "imageDeQ.jpg" dans l'explorateur Windows. L'utilisateur veut absolument voir un Q alors il ne se pose aucune question lorsqu'il accorde gentiment les droits admin' à "imageDeQ.jpg". Bon, on se demande encore combien de décennies il va falloir attendre avant que Microsoft corrige cette faille.
19/12/2016, 15h01
Matthieu Vergne

Citation:

Envoyé par Squisqui

Non. Dans la vrai vie, l'utilisateur veut lire sa musique, il essaie, il voit le message, il annule, sa musique n'est pas lu. Ensuite, il recommence appuie sur l'autre bouton pour voir si ça marche. Pourquoi ? Parce qu'il veut lire sa musique.
Le virus le plus con du monde, c'est celui qui s'appelle "imageDeQ.jpg.exe" qui apparaît comme "imageDeQ.jpg" dans l'explorateur Windows. L'utilisateur veut absolument voir un Q alors il ne se pose aucune question lorsqu'il accorde gentiment les droits admin' à "imageDeQ.jpg". Bon, on se demande encore combien de décennies il va falloir attendre avant que Microsoft corrige cette faille.

Excuse-moi d'avoir une "fausse vie". Si tu connais un correcteur de vie, je suis preneur.
Sinon, je te propose de partager une "MusiqueDeQ.mp3.exe" et de voir si ça marche aussi bien. OK ?

Ne tirons pas de généralités d'un cas particulier. Surtout quand celui-ci est à la limite du hors sujet.
19/12/2016, 15h42
Squisqui

Citation:

Envoyé par Matthieu Vergne

Excuse-moi d'avoir une "fausse vie". Si tu connais un correcteur de vie, je suis preneur.
Sinon, je te propose de partager une "MusiqueDeQ.mp3.exe" et de voir si ça marche aussi bien. OK ?

Ne tirons pas de généralités d'un cas particulier. Surtout quand celui-ci est à la limite du hors sujet.

Tu es un utilisateur averti donc non représentatif.
Le comportement que j'ai décrit est celui que j'ai toujours observé auprès des personnes qui ne font pas la différence entre Internet et Facebook. Bien sûr, on peut toujours remettre en cause mon observation personnel, mais Microsoft a déjà travaillé sur ce genre de problème.
Tu dis qu'il faudrait avertir l'utilisateur lorsqu'il y a une incohérence entre l'extension et le type MIME, c'est très bien sur le papier, dans la réalité, non.
Microsoft a tenté la même démarche en avertissant l'utilisateur lorsqu'un programme tente de modifier le PC. Ça aurait pu éviter que les gens exécute n'importe quoi, mais dans la réalité, c'est juste un clic supplémentaire qui fait grogner. Depuis, l'UAC a été allégé à partir de Windows 7 pour que ceux qui cliquent sans réfléchir le fasse sans grogner.
19/12/2016, 15h51
Aeson

Citation:

à part peut-être pour Aeson qui verra là à coup sûr l'occasion d'alimenter abondamment le conflit imaginaire et stérile Windows VS Linux

Tu te rapelle de moi ca fait plaisir :mrgreen::mrgreen::mrgreen:

Sinon concernant la faile... bin il y en a dans tous les OS (meme Linux, oui oui :mrgreen: ) mais je suis certain que vous trouverez une excuse qui blanchira Linux... comme d'habitude....

Voir 40 message(s) de cette discussion en une page