Une faille compromet le démarrage sécurisé sur Linux

Faites chauffer fwupd ? Ce logiciel permet de gérer, sur les systèmes Linux, les mises à jour de firmware. L’une de ses fonctionnalités est d’actualiser la liste de révocation de Secure Boot. C’est-à-dire celle qui identifie les éléments dont l’exécution n’est pas autorisée.

Cette liste, il va effectivement falloir l’actualiser. En tout cas sur les machines qui utilisent les principales distributions Linux. On a effectivement découvert une faille dans le shim, ce paquet logiciel qui intervient en amont du bootloader dans la chaîne d’amorçage.

Immatriculée CVE-2023-40457*, la vulnérabilité réside dans la partie du shim qui gère le boot HTTP. Des valeurs arbitraires sont acceptées lors du traitement des réponses. Ce qui peut entraîner des écritures hors limites. Et ouvrir ainsi la porte à des compromissions avant que le noyau soit chargé.

Il y a plusieurs manières d’exploiter cette faiblesse. Entre autres, intercepter le trafic HTTP (en particulier s’il est non chiffré et non authentifié) pour compromettre le serveur ou usurper son identité. Côté client, si on dispose des privilèges nécessaires (notamment la manipulation de données sur la partition EFI), on peut imaginer modifier la séquence de démarrage de sorte à charger un shim distant vulnérable.

Un correctif a été appliqué en date du 5 février 2024 sur les dépôts de Red Hat, qui assure la maintenance du plus répandu des shims. Pour accepter cette nouvelle version et donc blacklister les anciennes, il faudra mettre à jour les listes de révocation…

* La NVD (National Vulnerability Database) crédite la faille d’un score de criticité de 9,8/10.

À consulter en complément :

Le support LTS des noyaux Linux réduit de 6 à 2 ans
Linux 6.8 : qu’y a-t-il dans les versions préliminaires ?
Le BSOD, c’est désormais aussi sur Linux

Illustration principale © sakkmesterke – Adobe Stock