Page 1 sur 1
[securite]Faille critique kernel 2.4 et 2.6
Publié : ven. 14 août 2009, 22:01
par r4is3_your_g0d
Bonjour à tous,
Un 0day est apparue sous la forme d'un local root exploit lié a sock_sendpage() tous les kernel depuis le 2.4.37.5 jusqu'au 2.6.31-rc6 sont vulnerables voir
ici. Un patch a deja etait mis à disposition par Linus Torvalds :
http://git.kernel.org/?p=linux/kernel/g ... 45cf0f1b98
Des news pour un prochaine MAJ sous Arch?
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : ven. 14 août 2009, 22:15
par Skunnyk
Je crains pas, j'ai pas Pulse Audio
(
https://linuxfr.org/~patrick_g/28661.html )
Humour à part (il faut apparement pulse audio quand on a selinux, sinon pas besoin), le package archlinux sortira quand une release du kernel sera faite je pense, comme pour la faille du même genre il y a quelques semaines.
Pärt contre coup sur coup 2 failles local root exploit, c'est assez rare
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : ven. 14 août 2009, 22:44
par Skunnyk
Je viens de tester l'exploit sur mon arch:
$ ./wunderbar_emporium.sh
[+] Personality set to: PER_SVR4
Pulseaudio does not exist!
Je n'ai ni pulse audio, ni selinux. Quelqu'un avec PA peut tester ?
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : ven. 14 août 2009, 22:58
par r4is3_your_g0d
Les exploit sont assez ressemblant apparement. j'ai pas encore regarder le dernier, (j'y vais d'ailleur juste aprés) mais c'est vrai que deux vuln aussi critique en aussi peu de temps
J'avais pas lu tout le fil mais :
-------------------
Mitigation
-----------------------
Recent kernels with mmap_min_addr support may prevent exploitation if
the sysctl vm.mmap_min_addr is set above zero. However, administrators
should be aware that LSM based mandatory access control systems, such
as SELinux, may alter this functionality.
Donc comme tu disais, à moins d'avoir SELinux, on est assez à l'abri.
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : ven. 14 août 2009, 23:28
par ddup1
Perso l'exploi à échoué sur mon Arch
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : ven. 14 août 2009, 23:37
par r4is3_your_g0d
Skunnyk a écrit :Je viens de tester l'exploit sur mon arch:
$ ./wunderbar_emporium.sh
[+] Personality set to: PER_SVR4
Pulseaudio does not exist!
Je n'ai ni pulse audio, ni selinux. Quelqu'un avec PA peut tester ?
Marche pas non, pas PA, par contre sur milw0rm il y a un autre exploit :
http://milw0rm.com/sploits/2009-proto_ops.tgz
et le resultat :
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : sam. 15 août 2009, 00:29
par ddup1
En fait par défaut Archlinux est protégé contre cet exploit.
Mais après un :
Et l'exploit devient fonctionnel (avec pulseaudio ou pas, PA ne sert que pour contrer SELinux à priori)
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : sam. 15 août 2009, 10:54
par r4is3_your_g0d
Oui c'est le premier truc que j'ai verifié aprés avoir lu ca et avant de me demander si j'allais appliquer le patch.
chez moi :
Du coup ca mitige enormement la decouverte. En tous cas je suis bien content d'avoir ouvert ce topic parcequ'habituellement ca parle pas beaucoup de sécurité par ici.
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : sam. 15 août 2009, 16:47
par ddup1
Oui mais débin/ubuntu/redhat sont faillible à cet exploit.
Y'a un ientérêt à pouvoir mapper en 0 ?
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : sam. 15 août 2009, 17:33
par r4is3_your_g0d
ddup1 a écrit :Oui mais débin/ubuntu/redhat sont faillible à cet exploit.
Par defaut?? nan quand même pas??
Et mapper en 0 iol n'y a pas d'interet (enfin sauf si on veut winer n'importe quoi) bien au contraire, justement l'option protege l'accés aux adresses basses en userland ca empeche donc les NULL pointer dereference.
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : sam. 15 août 2009, 20:55
par ddup1
Sisi les distrib citées sont faillibles
Edit : possible piste distrib ayant installé wine par exemple, lu sur linuxfr :
# Wine needs to access the bottom 64k of memory in order to launch
# 16 bit programs.
vm.mmap_min_addr = 0
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : dim. 16 août 2009, 11:20
par r4is3_your_g0d
Arf Debian quand même
Sinon oui c'est ce que je voulais dire quand je parlais de winer n'importe quoi, d'ailleurs c'est hallucinant le nombre tuto et forum qui conseillent direct de mapper en 0 dés qu'il y a un probleme avec wine, ca en dit long sur le nombre de machines potentiellement faillibles.
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : dim. 16 août 2009, 11:33
par ddup1
Ben la meme pas besoin de conseiller, c'est un fichier installé avec wine dans /etc/sysctl.d :d
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : dim. 16 août 2009, 16:49
par r4is3_your_g0d
choqued! Je ne wine rien puisqu'il n'y a rien d'interessant à prendre chez windows. Peut-être pour les gamers mais je ne joue pas. Il va falloir rester attentif tout de même parcequ'à mon avis il risque d'y avoir pas mal d'exploits qui vont fleurir ces prochaines semaines.
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : lun. 17 août 2009, 17:34
par ddup1
D'autant plus que ce hack wine semble limité aux applications 16bits, même sous windows ca devient rare ce genre d'appli :/
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : mer. 19 août 2009, 19:24
par ddup1
Archlinux est à jour :
diff -Nur linux-2.6.30/net/socket.c linux-2.6.30-ARCH/net/socket.c
--- linux-2.6.30/net/socket.c 2009-06-10 05:05:27.000000000 +0200
+++ linux-2.6.30-ARCH/net/socket.c 2009-08-17 14:33:27.929112920 +0200
@@ -736,7 +736,7 @@
if (more)
flags |= MSG_MORE;
- return sock->ops->sendpage(sock, page, offset, size, flags);
+ return kernel_sendpage(sock, page, offset, size, flags);
}
Voila plus de risque lié à cette faille sur Arch à jour
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : mer. 19 août 2009, 21:44
par Skunnyk
Il ne reste plus qu'a attendre la prochaine
Re: [securite]Faille critique kernel 2.4 et 2.6
Publié : jeu. 20 août 2009, 13:50
par r4is3_your_g0d
ddup1 a écrit :Archlinux est à jour :
diff -Nur linux-2.6.30/net/socket.c linux-2.6.30-ARCH/net/socket.c
--- linux-2.6.30/net/socket.c 2009-06-10 05:05:27.000000000 +0200
+++ linux-2.6.30-ARCH/net/socket.c 2009-08-17 14:33:27.929112920 +0200
@@ -736,7 +736,7 @@
if (more)
flags |= MSG_MORE;
- return sock->ops->sendpage(sock, page, offset, size, flags);
+ return kernel_sendpage(sock, page, offset, size, flags);
}
Voila plus de risque lié à cette faille sur Arch à jour
C'est pour des trucs comme ca que je ne me demande jamais pourqui j'adore cette distrib