Linux Dirty Pipe

0:00 Linux présente une nouvelle vulnérabilité de haute gravité qui permet à des utilisateurs non fiables d'exécuter facilement du code capable de mener une multitude d'actions malveillantes, notamment l'installation de portes dérobées, la création de comptes d'utilisateurs non autorisés et la modification de scripts ou de binaires utilisés par des services ou des applications privilégiées.

0:26 DirtyPipe, comme la vulnérabilité a été nommée, fait partie des menaces Linux les plus sérieuses à être divulguées depuis 2016. Année où une autre file Linux de haute gravité est facile à exploiter, nommée DirtyCo, a été mise en lumière car elle était utilisée pour pirater le serveur d'un chercheur. En 2016, des chercheurs ont démontré comment exploiter DirtyCo pour router n'importe quel téléphone Android, quelle que soit la version de l'OS mobile.

1:04 Onze mois plus tard, des chercheurs ont déniché 1200 applications Android sur des marchés tiers qui exploitaient malicieusement la faille pour y parvenir. Le nom DirtyPipe est censé à la fois signaler les similitudes avec DirtyCo et fournir des indices sur les origines de la nouvelle vulnérabilité. Pipe fait référence à un pipeline, vous savez le mécanisme Linux qui permet à un processus OS d'envoyer des données à un autre processus.

1:37 En substance, un pipeline est constitué de deux processus, ou plus qui sont enchaînés de telle sorte que la sortie d'un processus, le STDout, est transmise directement en entrée du processus suivant.

1:55 Répertorié sous le nom de CVE-2022-0847, la vulnérabilité a été découverte lorsqu'un chercheur du constructeur de sites web CMO4All a été confronté à une série de fichiers corrompus qui apparaissaient constamment sur la machine Linux d'un client. Après des mois d'analyse, le chercheur a finalement découvert que les fichiers corrompus du client étaient le résultat d'un bug dans le noyau Linux.

2:26 Le chercheur Max Kellerman de Younos, la société maire de CM4All, a finalement trouvé comment exploiter la vulnérabilité pour permettre à toute personne possédant un compte, y compris les comptes les moins privilégiés, les fameux nobody, d'ajouter une clé SSH au compte de l'utilisateur root. Grâce à cette clé, l'utilisateur non autorisé peut accéder à distance au serveur avec une fenêtre SSH disposant de tous les privilégiés de l'utilisateur root.

3:00 D'autres chercheurs ont rapidement montré que la création non autorisée d'une clé SSH n'était qu'une des nombreuses actions malveillantes qu'un attaquant peut entreprendre lorsqu'il exploite la vulnérabilité. Ce programme, par exemple, détourne un binaire SUID pour créer un shell root, tandis que celui-ci permet à des utilisateurs non fiables d'écraser des données dans des fichiers en lecture seule.

3:29 Parmi les autres actions malveillantes permises par DirtyPipe, citons la création d'une tâche crône qui s'exécute comme une porte dérobée, l'ajout d'un nouveau compte utilisateur dans ETC Pass WD ou dans ETC Shadow, qui donne accès au nouveau compte les privilèges root, ou la modification d'un script ou d'un binaire utilisé par un service privilégié.

3:49 La vulnérabilité est apparue pour la première fois dans la version 5.8 du noyau Linux qui a été publiée en août 2020. La vulnérabilité a persisté jusqu'au mois dernier, janvier 2022, où elle a été corrigée avec les publications des versions 5.16.11, 5.15.25 et 5.10.102. DirtyPipe affecte également toute version drandoïde basée sur l'une des versions vulnérables du noyau Linux.

4:20 Android étant très fragmenté, les modèles d'appareils affectés ne peuvent pas être suivis de manière uniforme. La dernière version d'Android pour Pixel, par exemple les Samsung S22, fonctionne avec les versions 5.10.43, ce qui signifie qu'ils sont vulnérables. A Pixel 4 sous Android 12, quant à lui, exécute la version 4.14, qui n'est pas affectée.

4:45 Les utilisateurs d'Android peuvent vérifier que la version du noyau Linux leur appareil utilise, en allant dans paramètres à propos du téléphone version Android. En tout cas, la vulnérabilité d'UrtyPipe est extrêmement grave dans la mesure où elle permet à un attaquant d'écraser temporairement ou définitivement des fichiers sur le système qui ne devraient pas être en mesure de modifier.

5:10 Les attaquants peuvent utiliser cela pour modifier le comportement des processus privilégiés, obtenant effectivement la capacité d'exécuter du code arbitraire avec des privilèges système étendu. Un chercheur de Lockout a déclaré que la vulnérabilité peut être exploitée sur les combinés Android, sur les smartphones, par le biais d'une application malveillante qui élève ses privilèges, qui par défaut sont censés être limités.

5:37 Google a intégré son correctif au noyau Android en février 2022. Rien n'indique que les versions d'Android basées sur une version vulnérable du noyau Linux soient corrigées. Les utilisateurs doivent supposer que tout appareil fonctionnant sous une version d'Android basée sur une version vulnérable du noyau Linux est susceptible d'être infecté par DirtyPipe.