Des chercheurs en cybersécurité ont révélé une faille de sécurité dans la communication transparente inter-processus du noyau Linux (TIPC) qui pourrait potentiellement être exploité à la fois localement et à distance pour exécuter du code arbitraire dans le noyau et prendre le contrôle des machines vulnérables.

La vulnérabilité de débordement de tas « peut être exploitée localement ou à distance au sein d’un réseau pour obtenir les privilèges du noyau, et permettrait à un attaquant de compromettre l’ensemble du système », la société de cybersécurité SentinelOne mentionné dans un rapport publié aujourd’hui et partagé avec The Hacker News.

TIPC est une couche de transport protocole conçu pour que les nœuds s’exécutant dans des environnements de cluster dynamiques communiquent de manière fiable entre eux d’une manière plus efficace et plus tolérante aux pannes que d’autres protocoles tels que TCP. La vulnérabilité identifiée par SentinelOne est liée à un nouveau type de message appelé « MSG_CRYPTO » qui a été introduit en septembre 2020 et permet aux nœuds homologues du cluster d’envoyer des clés cryptographiques.

Bien que le protocole ait mis en place des contrôles pour valider ces messages après le déchiffrement afin de s’assurer que la taille réelle de la charge utile d’un paquet ne dépasse pas celle de la taille maximale du message utilisateur et que cette dernière est supérieure à la taille de l’en-tête du message, aucune restriction n’a été trouvée. placé sur la longueur de la clé (alias ‘keylen’) elle-même, résultant en un scénario où « un attaquant peut créer un paquet avec une petite taille de corps pour allouer de la mémoire de tas, puis utiliser une taille arbitraire dans l’attribut ‘keylen’ pour écrire en dehors des limites de cet endroit. »

Il n’y a aucune preuve que la faille ait été abusée dans des attaques dans le monde réel à ce jour, et suite à une divulgation responsable le 19 octobre, le problème a été résolu dans la version 5.15 du noyau Linux publiée le 31 octobre 2021.

« La fonction tipc_crypto_key_rcv est utilisée pour analyser les messages MSG_CRYPTO afin de recevoir des clés d’autres nœuds du cluster afin de déchiffrer tout autre message provenant d’eux », les responsables du noyau Linux mentionné dans un correctif poussé à la fin du mois dernier. « Ce correctif vérifie que toutes les tailles fournies dans le corps du message sont valides pour le message reçu. »

« Bien que TIPC lui-même ne soit pas chargé automatiquement par le système mais par les utilisateurs finaux, la possibilité de le configurer d’un point de vue local non privilégié et la possibilité d’une exploitation à distance en font une vulnérabilité dangereuse pour ceux qui l’utilisent dans leurs réseaux », chercheur SentinelOne a déclaré Max Van Amerongen.