Faille Linux « OvsWrap » : une élévation de privilèges root menace des milliers de serveurs Linux
Les administrateurs systèmes se retrouvent confrontés à une nouvelle vulnérabilité d’élévation de privilèges, connue sous le nom de « OvsWrap ». Cette faille intervient après les incidents de « Copy Fail » et « Dirty Frag », qui avaient déjà mis en lumière des problèmes similaires plus tôt cette année.
Sur une machine vulnérable, un compte sans privilèges spécifiques parvient à déclencher une action réseau saturée de centaines de sous-actions de suivi de connexion. Ce processus entraîne un débordement du champ de longueur, dépassant sa limite de 16 bits. Le noyau du système lit alors des données fournies par ce compte, les considérant comme des actions légitimes. En exploitant cette confusion, le compte accède à des zones de mémoire du noyau, récupérant l’identifiant d’un processus du système hôte, qu’il parvient ensuite à désactiver. Ce compte modifie le fichier sudoers, ouvrant ainsi un shell root.
Le chercheur à l’origine de cette découverte a mis à disposition un code exploitant cette faille, avec des repères calculés pour environ 800 versions de noyau x86-64, ainsi qu’une méthode de calcul dynamique pour les versions restantes.
Les branches stables 5.15.212, 6.1.178, 6.6.145, 6.12.97, 6.18.40 et 7.1.5 ont bénéficié de correctifs pour cette vulnérabilité. En revanche, les versions 6.13 à 6.17, 6.19 et 7.0 ont atteint leur fin de vie et ne recevront pas de mises à jour. Si l’installation d’un noyau corrigé n’est pas envisageable, les administrateurs peuvent bloquer l’accès en empêchant le chargement du module. La commande echo 'install openvswitch /bin/false' > /etc/modprobe.d/ovswrap.conf permet de prévenir tout nouveau chargement, à condition qu’aucune instance du module ne soit déjà active en mémoire.
Certaines distributions, telles qu’Amazon Linux 2, Debian 11, Rocky Linux 8 et Ubuntu 20.04, ne sont pas affectées par cette vulnérabilité, leurs noyaux plus anciens n’ayant jamais reçu la modification de mars 2025. En désactivant les espaces de noms utilisateur non privilégiés, un administrateur peut restreindre l’accès à un compte local, bien que cela n’affecte pas les conteneurs déjà dotés de la capacité réseau requise. Le chercheur a noté que cette dernière voie d’accès est théoriquement atteignable, mais n’a pas intégré cette possibilité dans le code publié.
Source : Clubic
