Résumé :
Un incident de sécurité qui a suscité de nombreuses inquiétudes s'est récemment produit dans la communauté des développeurs du noyau Linux. Plusieurs rapports de vulnérabilité du noyau Linux non corrigés que les chercheurs en sécurité auraient dû soumettre via des canaux privés ont été envoyés à la liste de diffusion publique du noyau Linux (LKML) en raison d'erreurs opérationnelles, entraînant une exposition précoce des informations de vulnérabilité pertinentes.
Lorsque l'incident s'est produit, la version stable de Linux 7.3 venait tout juste d'être publiée et la version Linux 7.4 était encore en phase de développement de fonctionnalités. Cette fuite n'a rien à voir avec le précédent incident de vulnérabilité PHP qui a provoqué une mise à jour urgente d'un grand nombre d'administrateurs de sites Web, mais elle a également provoqué un choc dans la communauté de la sécurité open source.
Selon des rapports, la Zero Day Initiative (ZDI) de Trend Micro a soumis plusieurs rapports impliquant des failles de sécurité du noyau Linux. Les informations étaient censées être envoyées à une liste de diffusion privée dédiée aux problèmes de sécurité afin que les développeurs puissent corriger la vulnérabilité avant qu'elle ne devienne publique. Cependant, l'e-mail concerné a été envoyé par erreur à la liste de diffusion publique du noyau Linux, permettant à tous les abonnés de consulter les détails de la vulnérabilité.
Après la révélation de l'incident, Greg Kroah-Hartman, responsable de la maintenance de la version stable du noyau Linux, a publiquement exprimé son mécontentement et a exhorté les chercheurs en sécurité à améliorer le processus de soumission des vulnérabilités et à éviter de divulguer les problèmes de sécurité non résolus directement sur les chaînes publiques. D'autres développeurs et membres de la communauté figurant sur la liste de diffusion ont également exprimé des critiques et des inquiétudes concernant cette erreur.
Cette divulgation inattendue concerne au moins six vulnérabilités qui n'ont pas encore été corrigées. Deux d’entre elles sont des vulnérabilités d’exécution de code à distance à haut risque et toutes deux ont reçu des scores CVSS 9.0. Il existe une vulnérabilité dans l'implémentation de SMB Direct, provoquée par un problème de dépassement d'entier, qui pourrait permettre à un attaquant d'exécuter du code à distance. Une autre vulnérabilité est liée à une condition de concurrence critique dans le composant KSMBD, qui peut également conduire à l'exécution à distance de code malveillant.
De plus, il existe de multiples vulnérabilités qui peuvent conduire à une élévation de privilèges ou à une divulgation d'informations. Par exemple, l'implémentation de skb_zerocopy dans le sous-système réseau présente des failles de sécurité et peut être utilisée pour une élévation de privilèges locale ; il existe un problème d'écriture hors limites dans le pilote graphique VMware VMWGFX, qui peut également entraîner une élévation des privilèges locaux ; Le code lié à NVMET présente un problème avec les ressources non initialisées, ce qui peut entraîner une fuite d'informations sensibles.
De plus, une vulnérabilité qui a été précédemment envoyée à la liste de diffusion implique un problème de dépassement de tampon de pile lors du traitement des requêtes TCP et peut également être exploitée pour obtenir une élévation de privilèges locale.
Certaines vulnérabilités sont actuellement en cours de correction. Parmi eux, les correctifs liés à SMB Direct devaient initialement être fusionnés au cours du cycle de développement de Linux 7.5. Après cette première exposition, les développeurs peuvent accélérer la progression de la réparation et de la publication. Une autre vulnérabilité du sous-système réseau a déjà été signalée à l'équipe de sécurité du noyau via d'autres canaux, et le correctif correspondant devrait être publié dans un avenir proche.
Les experts du secteur soulignent que la divulgation anticipée des détails des vulnérabilités augmente souvent les risques. Ces dernières années, les attaquants ont de plus en plus eu recours à des outils automatisés, à des techniques d’ingénierie inverse et à des analyses assistées par l’intelligence artificielle pour rechercher et exploiter les vulnérabilités logicielles. Avant qu'un correctif ne soit largement déployé, l'exposition publique des informations sur les vulnérabilités peut réduire le délai permettant aux attaquants de développer du code d'exploitation.
Actuellement, l'équipe de développement du noyau Linux propose des correctifs de vulnérabilités associés, et l'impact réel de cette erreur d'envoi d'e-mail reste à observer plus en détail. L'incident souligne également une fois de plus l'importance du processus de divulgation des vulnérabilités de sécurité et la nécessité de protéger correctement les informations techniques sensibles avant la publication des correctifs.
Commentaires