Plusieurs vulnérabilités affectant les noyaux Linux corrigées

Jonathan Looney, un expert en sécurité informatique de chez Netflix, a découvert plusieurs vulnérabilités affectant les systèmes d’exploitation Linux. Plusieurs éditeurs de distribution de Linux ont récemment publié des bulletins de sécurité concernant la correction de 3 vulnérabilités présentes dans le noyau Linux, 1 de criticité importante et 2 de criticité modérée. Parmi les distributions concernées figurent Debian, RedHat, Suse, Ubuntu, AWS. Debian, RedHat, Ubuntu et AWS ont déjà publié des mises à jour de sécurité pour corriger ces vulnérabilités.

Le noyau Linux est un noyau de système d'exploitation de type UNIX. Le noyau fournit aux logiciels une interface de programmation pour utiliser le matériel, son importance est donc critique pour l’intégrité du système et son fonctionnement. La compromission du noyau correspond ainsi à la compromission totale du système. L’impact de ces trois vulnérabilités entraîne le déni de service.

Selon certaines estimations, 70% des 10 millions de sites Internet les plus visités seraient hébergés sur des serveurs Linux, d’où l’importance d’un tel correctif de sécurité.

Détails Techniques :

Les 3 vulnérabilités sont les suivantes :

  • CVE-2019-11477 [Score CVSSv3 7.5] : L'implémentation de la file d'attente de retransmission TCP dans le noyau Linux peut être fragmentée lors du traitement de certaines séquences d'accusé de réception sélectif TCP (SACK). Un attaquant distant pourrait utiliser cette vulnérabilité pour provoquer un déni de service.
  • CVE-2019-11478 [Score CVSSv3 7.5] : Un dépassement d'entier existe dans le noyau Linux lors de la gestion des accusés de réception sélectifs TCP (SACK). Un attaquant distant pourrait l'utiliser pour provoquer un déni de service (interruption du système).
  • CVE-2019-11479 [Score CVSSv3 7.5] : Un défaut de conception pourrait être exploité par un attaquant pour effectuer un déni de service en envoyant des paquets spécialement conçus avec un MSS ("Maximum Segment Size" - longueur maximum de segment) bas pour déclencher une utilisation excessive des ressources.
Informations
+

Risques

  • Déni de service

Criticité

  • Score CVSS : 7.50 (Score de la vulnérabilité la plus critique)

Existence d’un code d’exploitation de la vulnérabilité

  • Il n'existe pas de code d'exploitation de la vulnérabilité actuellement.

Composants & versions vulnérables

  • Ubuntu 19.04 et dérivés
  • Ubuntu 18.10 et dérivés
  • Ubuntu 18.04 LTS et dérivés
  • Ubuntu 16.04 LTS et dérivés
  • Ubuntu 14.04 ESM et dérivés
  • Ubuntu 12.04 ESM et dérivés
  • Red Hat Enterprise Linux 7 kpatch-patch
  • Red Hat Enterprise Linux 7 kernel-alt
  • Red Hat Enterprise Linux 8 kpatch-patch
  • Red Hat OpenShift Container Platform 4.1 kernel
  • Red Hat Virtualization 4 redhat-virtualization-host
  • Debian jessie 3.16.56-1 et inférieur
  • Debian stretch 4.9.168-1 et inférieur
  • SUSE Linux Enterprise Server 12
  • SUSE Linux Enterprise Server 15

CVE

  • CVE-2019-11477
  • CVE-2019-11478
  • CVE-2019-11479

Recommandations
+

Mise en place de correctif de sécurité

  • Un correctif de sécurité a été mis en place par Debian, RedHat, Ubuntu et AWS, des correctifs de sécurité ont été annoncés pour les autres distributions.

Solution de contournement

  • Il n'existe pas de solution de contournement fiable. Les équipes de Suse ont proposé deux solutions de contournement mais celles-ci peuvent entraîner la perturbation de certains services, elles ne sont donc pas conseillées.