Un nouveau problème de sécurité (CVE-2016-0728 pour ceux qui aiment garder une trace de ces choses) a été annoncé le 14 janvier par Point de vue, une équipe de recherche en sécurité. Le bogue affecte les noyaux compilés avec le commutateur de configuration du noyau CONFIG_KEYS défini sur "on" et a été présent dans tous les noyaux Linux depuis la version 3.8. L'exploit permet l'escalade racine en remettant à zéro un entier 32 bits. Perception point affirme qu'"environ des dizaines de millions de PC et de serveurs Linux, et 66% de tous les appareils Android" sont concernés.
Adrian Ludwig de Google, ingénieur principal pour la sécurité Android, a répondu, indiquant que l'exploit a été corrigé et publié en open source le 20 janvier.
Comme toujours, il y a encore beaucoup de questions. Parlons d'eux.
Que se passe-t-il?
Il existe un bogue dans le noyau Linux (version 3.8 et supérieure) qui permet à un attaquant d'obtenir un accès root. Le noyau doit avoir été construit avec le service Keyring activé, et une attaque doit faire beaucoup de calculs pour qu'un nombre compte le plus possible, puis revienne à zéro. Il faut 4 294 967 296 calculs pour ramener à zéro un entier 32 bits (deux à la puissance 32). Cela ne prend que 30 minutes environ sur un tout nouveau processeur Intel i7, mais prendrait beaucoup plus de temps (comme beaucoup plus longtemps) sur un processeur de téléphone.
Une fois que le nombre a fait tout le tour (pensez à la façon dont un flipper revient à zéro une fois que votre score atteint 999 999 999) et revient à zéro, l'attaquant peut accéder à l'espace mémoire et exécuter du code en tant que super utilisateur.
Faut-il s'inquiéter ?
Nous devons toujours nous inquiéter lorsqu'un exploit de sécurité survient. Cette fois n'est pas différente. Mais il y a quelques éléments ici qui font que beaucoup s'interrogent sur le nombre d'appareils potentiellement concernés.
- La configuration recommandée du noyau pour les appareils Android n'a pas la variable CONFIG_KEYS activée, ce qui signifie que cet exploit n'aura aucun effet. Les personnes qui ont fabriqué votre téléphone peut l'ont activé, et les cuiseurs ROM personnalisés peuvent également l'avoir fait.
- Tous les téléphones Nexus ne sont pas affectés: ils utilisent la configuration par défaut du noyau et le trousseau de clés n'est pas activé dans le noyau.
- SELinux annule le vecteur d'attaque, donc si votre téléphone ou votre tablette exécute Android 5.0 ou supérieur, vous ne devriez pas être affecté.
- La plupart des appareils pas exécutant Android 5.0 ou supérieur utiliseront une ancienne version du noyau Linux et ne sont pas affectés.
Oui, de nombreux ordinateurs, téléphones et tablettes sont affectés par cet exploit. Mais nous doutons des chiffres donnés par Perception Point.
Nous ne pouvons pas auditer les 11 000 modèles différents d'Android disponibles, mais nous pouvons diriger tous ceux qui ont plus de questions vers les modèles pertinents. forum sur les appareils. En un mot, si vous utilisez Lollipop, vous êtes en sécurité. Si ce n'est pas le cas, consultez l'écran À propos de l'appareil et vérifiez la version de votre noyau. S'il est antérieur à 3.8, vous êtes en sécurité.
Que dois-je faire?
C'est l'un de ces problèmes de sécurité qui peuvent être exploités par une application - à condition que votre téléphone soit vulnérable comme nous l'avons mentionné ci-dessus. Parce qu'il y a un parcelle de calcul impliqué, vous devriez avoir une mauvaise application en cours d'exécution au premier plan pendant longtemps, donc quelque chose comme un jeu serait une bonne application pour essayer de pirater un exploit.
Pour rester en sécurité, n'installez pas d'applications auxquelles vous ne faites pas confiance. Jamais.
Si vous ne savez pas à qui vous pouvez faire confiance, assurez-vous simplement de ne pas autoriser l'installation d'applications à partir de sources inconnues et de vous en tenir à Google Play.
C'est vraiment aussi simple que ça d'être à 100% à l'abri de celui-ci.
Qu'en est-il des mises à jour pour les exploits ?
Ludwig de Google dit que le correctif a été publié le 20 janvier en open source et livré à tous les partenaires. Les fabricants devront inclure ce correctif pour se conformer au niveau de correctif de sécurité du 1er mars 2016 et des versions ultérieures.