Nous avons récemment parlé d'une potentielle crise de sécurité dans le kernel Linux. Les experts en ont débattu jusqu'à épuisement, mais les bugs continuent d'apparaître, et le dernier est en fuite depuis près d'une décennie. Connu sous le nom de Dirty COW ou CVE-2016-5195, ce bug permet à un utilisateur d'élever ses privilèges en quelques secondes, mais ce n'est pas tout. Dirty COW a été détecté pour la première fois il y a onze ans, Linus Torvalds lui-même a tenté de le corriger, une mise à jour ultérieure a provoqué une régression, et il est resté flottant dans le limbe numérique depuis lors.
Neuf ans, un exploit en liberté, et la même vieille histoire. Le code est aussi bon que les gens qui l'écrivent, et malgré l'effort, le dévouement, la formation et l'engagement des experts, toute cette armée d'yeux ne suffit pas à attraper chaque bug qui apparaît. Cette situation s'applique au logiciel en général, mais le kernel Linux est un élément si important que lorsqu'une vulnérabilité est découverte en son sein, il est inévitable d'y regarder de plus près. Les chances qu'un bug reste dans le kernel pendant des années sont assez grandes. La moyenne est d'environ cinq ans, mais la nouvelle d'aujourd'hui jette cette moyenne par la fenêtre...
Le « nom artistique » de la vulnérabilité est Dirty COW, et techniquement on l'appelle CVE-2016-5195. Sa description avancée nous parle d'une condition de course (assez courante en somme) détectée sur la façon dont le sous-système mémoire du kernel manipule une technique de duplication appelée Copy-On-Write. À travers cette fissure, un utilisateur peut obtenir un accès en écriture à des cartes mémoire qui, dans des conditions normales, seraient en lecture seule, menant à une élévation de privilèges. Le chercheur et développeur Phil Oester a découvert l'exploit, qu'il identifie comme « compilé avec GCC 4.8.5 daté 20150623 », ce qui n'empêche pas que cet exploit circule sur le Web depuis plus longtemps, en raison de l'ancienneté du bug. À quel point est-il ancien ? D'après Linus Torvalds lui-même, onze ans, et il admet que sa correction a été assez mauvaise. Pourquoi ? Parce qu'une mise à jour ultérieure l'a ramené, et il est parmi nous depuis 2007.
Comme prévu, Dirty COW a déjà été corrigé par les responsables du kernel, mais il est maintenant temps d'effectuer des mises à jour, qui n'arriveront évidemment pas à tous les appareils concernés. Les utilisateurs de distributions devraient recevoir les alertes nécessaires, cependant, le fait qu'il existe des millions de systèmes Linux incapables de recevoir des mises à jour nous rappelle à quel point une faille de sécurité dans le kernel peut être délicate.
