Un Exploit zero-day Sans Script Contourne les Fonctions de Sécurité de Linux

Le chercheur en sécurité Chris Evans a pu contourner les deux fonctionnalités de sécurité en envoyant des octets sans script dans le décodeur GStreamer, réussissant à avoir accès en lecture/ écriture à la mémoire pour prendre le contrôle d'un PC ciblé. La technique aurait fonctionné pour les systèmes Linux 64 bits fonctionnant sous ASLR, ce qui concerne la distribution Fedora, utilisée comme preuve de concept, mais également d’autres versions de Linux.

« Ce décodeur est généralement présent dans l'installation par défaut des versions Linux pour postes de travail, y compris les versions récentes comme Ubuntu 16.04 et Fedora 24 », a déclaré Chris Evans. « Gstreamer classe ses décodeurs comme « good », « bad » ou « ugly ». En dépit d'être assez bugguéet superflu dans l’environnement actuel, le décodeur FLIC est classé dans la catégorie « good », garantissant sa présence dans presque toutes les installations Linux par défaut.

Bien que l'exploit fonctionne prétendument sur toutes les distributions de Linux qui exécutent le décodeur GStreamer, l’adapter pour attaquer des distributions autres que Fedora implique du travail et des compétences supplémentaires. Chris Evans souligne également l’absence de dispositifs tels qu’ASLR et RELRO dans Ubuntu jusqu'à la version 16.04 LTS, ce qui les rend encore plus vulnérable à ce type d’attaque que d’autres distributions Linux.

Selon Chris Evans « Tirer profit de cet exploit sur Ubuntu aurait été beaucoup plus rapide en raison de l'absence d’ASLR. Mais le but ici était précisément de réussir à contourner ce dispositif de sécurité avec un exploit ‘scriptless’, le choix s’est donc porté sur Fedora comme cible de notre test d’exploitation. »

La preuve de concept est disponible en téléchargement, ainsi qu'un fichier crash pour vérifier que l'exploit est légitime. Aucun correctif n’a encore été publié par Linux, mais il est probable qu’il y en ait un sous peu. Parmi les recommandations de sécurité qui en découlent, Chris Evans souligne que tout code responsable de l'indexation ou de l'affichage automatique de vignettes pour les fichiers multimédia doit être sandboxé pour empêcher la propagation de tels exploits à l'avenir.