Google et Intel ont alerté sur un bogue de sécurité découvert récemment dans le noyau Linux. D’après les rapports, il s’agit d’une nouvelle faille critique qui concerne BlueZ de la technologie Bluetooth. Elle affecterait les versions 4.8 et plus.
Les personnes malveillantes pourraient utiliser cette vulnérabilité, baptisée Bleedingtooth, pour exécuter un code arbitraire ou pour accéder à des informations personnelles. Pour y remédier, Intel a mis au point des mises à jour et des correctifs. Rappelons que le mois précédent, des chercheurs de l’université de Purdue ont trouvé une autre faille touchant également le protocole Bluetooth. Elle s’appelle BLESA ou Bluetooth Low Energy Spoofing.
Dans cet article :
La description de Bleedingtooth selon Google
Google a publié quelques détails concernant la faille sur GitHub. A titre informatif, il s’agit de son dépôt de recherche de sécurité. Les ingénieurs de ce service technologique international ont fourni des descriptions beaucoup plus sérieuses que celles qui sont données par Intel.
Ils ont répertorié les trois vulnérabilités qui composent Bleedingtooth, sous les numéros : CVE-2020-12351, CVE-2020-12352 et CVE-2020-24490. La plus grave est la CVE-2020-12351. Elle peut créer une confusion de type « heap-based ».
Par contre, les deux autres sont des risques moyens. Elles ont toutes les deux un score CVSS de 5,3. Quant à la seconde faille avec la référence CVE-2020-12352, elle peut engendrer une fuite d’informations. Pour ce qui est de la troisième, elle entraîne une défaillance du système.
Bleedingtooth : une vulnérabilité sans clic
Comme l’explique Andy Nguyen, l’ingénieur de Google qui l’a identifié, Bleedingtooth est une vulnérabilité sans clic. C’est-à-dire qu’il peut être exécuté même sans l’interaction de la victime. Autrement dit, un hacker se trouvant à proximité et détenant l’adresse bd de l’appareil cible est en mesure de déclencher une faille.
Par conséquent, celle-ci conduira à un déni de service ou à une exécution de code malveillant avec les privilèges du noyau. D’ailleurs, Nguyen a posté un tweet et une vidéo montrant comment l’attaque pourrait se produire.
« Un attaquant à courte distance connaissant l’adresse bd de la victime peut récupérer les informations de la pile du noyau. Les pointeurs qu’elle contient sont utilisés pour prédire la disposition de la mémoire et pour vaincre KASLR. La fuite peut contenir d’autres informations précieuses telles que les clés de cryptage », a déclaré Francis Perry de l’équipe de Google.
Quoi qu’il en soit, le code PoC des deux failles de gravité moyenne et le code d’exploitation du concept pour Bleedingtooth sont disponibles sur GitHub. En outre, Google prévoit d’apporter prochainement plus de renseignements sur le sujet.
Intel recommande de mettre à jour le noyau Linux à la version 5.9
BlueZ est la pile protocolaire Bluetooth officielle de Linux. Le géant de la technologie a noté que les vulnérabilités affectent toutes les versions antérieures à 5,9 du noyau Linux.
« Une validation incorrecte des entrées dans BlueZ peut permettre à un utilisateur non authentifié d’activer potentiellement l’escalade des privilèges via un accès adjacent », a affirmé Intel dans son avis sur la vulnérabilité CVE-2020-12351.
Pour pallier ces défauts, Intel recommande la mise à jour du noyau Linux à la récente version 5.9 ou ultérieure. En outre, le projet BlueZ propose plusieurs correctifs du noyau pour résoudre les problèmes.
Selon la suggestion d’Intel, voici la liste des correctifs à installer en cas d’échec de la mise à niveau :
- https://lore.kernel.org/linux-bluetooth/20200806181714.3216076-1-luiz.dentz@gmail.com/
- https://lore.kernel.org/linux-bluetooth/20200806181714.3216076-2-luiz.dentz@gmail.com/
- https://lore.kernel.org/linux-bluetooth/20200806181714.3216076-3-luiz.dentz@gmail.com/
- https://lore.kernel.org/linux-bluetooth/20200806181714.3216076-4-luiz.dentz@gmail.com/
- https://git.kernel.org/pub/scm/linux/kernel/git/bluetooth/bluetooth-next.git/commit/?id=a2ec905d1e160a33b2e210e45ad30445ef26ce0e
