Ces derniers temps, la tâche des administrateurs système n'a pas été de tout repos. Beaucoup sont encore aux prises avec les conséquences des différentes failles de sécurité d' e Log4j (s'ouvre dans un nouvel onglet), qui ont bouleversé le monde de l'informatique au cours des deux derniers mois. Malheureusement, les mauvaises nouvelles ne cessent de s'enchaîner. La dernière découverte en date est une faille facile à exploiter dans un programme Linux très répandu appelé pkexec.
Cette faille est restée cachée à la vue de tous depuis plus de 12 ans. Heureusement, les chercheurs qui ont découvert cette faille ont collaboré de manière proactive avec les éditeurs, et la quasi-totalité des principales distributions disposaient déjà de correctifs dans leurs dépôts en amont au moment de l'annonce.
De quoi s'agit-il donc, quel impact cela pourrait-il avoir sur votre organisation et comment Tanium peut-il vous aider ?
Qu'est-ce que PwnKit ?
Cette vulnérabilité (CVE-2021-4034) a déjà reçu un nom accrocheur de la part des chercheurs de l' , chez Qualys (s'ouvre dans un nouvel onglet) , qui l'ont découverte : PwnKit. En effet, pkexec fait partie d'une boîte à outils au niveau de l'application appelée Polkit (anciennement PolicyKit).
Polkit sert à permettre aux processus non privilégiés de communiquer avec des processus privilégiés dans les systèmes d'exploitation de type Unix. De plus, grâce à pkexec, cela permet aux utilisateurs d'exécuter des commandes avec des privilèges élevés.
Il existe plusieurs raisons pour lesquelles PwnKit est si dangereux :
- Cette vulnérabilité est présente dans toutes les versions de Polkit à partir de la version 2009
- Pkexec est installé par défaut sur toutes les principales distributions Linux
- Cette faille est facile à exploiter, et un code d'exploitation était déjà disponible quelques heures seulement après sa divulgation publique.
- Cela pourrait permettre à un acteur malveillant d'obtenir l'ensemble des privilèges root sur un système ciblé, ce qui lui permettrait de causer de graves dommages
Pourquoi cela devrait-il vous intéresser ?
PwnKit ne peut pas être exploité à distance. Mais cette faille peut être exploitée si un attaquant s'est d'abord connecté au système ciblé avec des droits non privilégiés. C'est assez facile à faire de nos jours, soit en exploitant un autre bug, soit en utilisant des identifiants d'utilisateur piratés ou obtenus par force brute.
En exploitant PwnKit, un pirate peut alors élever ses privilèges jusqu'au niveau root. Grâce à ces droits d'accès au système, ils pourraient voler des données hautement confidentielles et déployer des ransomwares et d'autres logiciels malveillants partout au sein de votre organisation.
Si vous utilisez Ubuntu, Debian, Red Hat ou CentOS, il y a de fortes chances que vous utilisiez une version vulnérable de pkexec. D'autres distributions Linux seraient, selon certaines sources (s'ouvre dans un nouvel onglet) , « probablement vulnérables et susceptibles d'être exploitées » — tout comme Solaris et d'autres systèmes d'exploitation de type Unix.
Heureusement, des correctifs sont disponibles : pour Debian (s'ouvre dans un nouvel onglet), ; pour Ubuntu (s'ouvre dans un nouvel onglet) et ; ainsi que pour Red Hat (s'ouvre dans un nouvel onglet) , qui a déjà publié des avis de sécurité. Il est vivement recommandé d'appliquer le correctif CVE-2021-4034 (également appelé PwnKit) dès que possible. Si aucun correctif n'est disponible, la suppression du bit SUID de pkexec permettra de limiter la vulnérabilité, mais cela pourrait avoir des répercussions sur les opérations ; cette mesure doit donc être considérée comme une solution de dernier recours lorsque l'application d'un correctif n'est pas possible dans les meilleurs délais, et uniquement après avoir procédé à des tests approfondis.
En quoi Tanium peut-il vous aider ?
Tanium peut vous offrir la visibilité et le contrôle nécessaires pour détecter les instances vulnérables de pkexec, identifier les signes d'exploitation et remédier au problème dans l'ensemble de votre environnement informatique. Voici comment procéder :
Tanium Interact : (s'ouvre dans un nouvel onglet) Identifiez les instances potentiellement vulnérables à l'aide de la plateforme Tanium. Si l'application du correctif n'est pas possible dans l'immédiat, les organisations peuvent tester et mettre en œuvre la mesure d'atténuation consistant à supprimer le bit SUID, tout en se préparant à appliquer le correctif de manière appropriée.
des correctifs Tanium (s'ouvre dans un nouvel onglet) : Déployez les correctifs selon vos besoins sur toutes les versions prises en charge des distributions Linux en cours d'exécution dans votre environnement. Tanium Patch permet aux entreprises d'appliquer des correctifs rapidement et à grande échelle, quel que soit le nombre de terminaux en service.
Tanium Comply : (s'ouvre dans un nouvel onglet) Suivez l'évolution de la réduction de la surface d'attaque au fil du temps afin d'identifier vos risques et vos écarts de conformité.
Si vous souhaitez découvrir comment Tanium peut vous aider à remédier à cette vulnérabilité (s'ouvre dans un nouvel onglet) ou à toute autre, contactez-nous dès aujourd'hui.
