Linux Fail · Résumés

SYNTHÈSE STRUCTURÉE

Présentation de la vulnérabilité Copy Fail

L’intervenant revient sur son précédent propos : « le véritable avantage de Linux, c’est la transparence et la liberté de contrôler ce qui se passe sur votre système, pas une magie intrinsèque qui le rendrait immunisé contre les bugs ». Copy Fail (CVE-2026-31431) illustre parfaitement ce point : un bug massif, présent depuis près de 10 ans dans le noyau Linux, qui permet à tout utilisateur non privilégié d’obtenir les droits root en moins d’une seconde sur pratiquement toutes les distributions Linux depuis 2017.

Fonctionnement technique du bug

Quand un programme ouvre un fichier, le noyau ne lit pas le fichier depuis le disque à chaque accès. Il charge son contenu en RAM dans une structure appelée page cache et donne au programme un corridor vers cette mémoire. Si 10 programmes lisent le même fichier, le noyau sert à tous la copie depuis la RAM, pas depuis le disque. Pour empêcher un utilisateur malveillant de modifier ce cache, le noyau applique des contrôles de permissions stricts. C’est là qu’intervient le module ALGIF AEAD (Authenticated Encryption with Associated Data), un module de chiffrement matériel implémenté dans le noyau. L’intervenant explique : « Dans une de ces optimisations, quelqu’un a fait une erreur logique microscopique, littéralement quatre octets à la fois, qui permet de contourner tous les contrôles de permissions sur le page cache ».

Mécanisme d’exploitation détaillé

L’exploitation se déroule en plusieurs étapes :

Ouvrir un fichier innocent (ex : utx.txt) → chargement dans le page cache.
Simuler une entrée cryptographique : prendre le contenu du fichier et le passer au module ALGIF AEAD comme s’il s’agissait de données chiffrées à déchiffrer.
Injecter la charge utile malveillante, quatre octets à la fois.
À cause du bug dans le calcul HMAC interne, l’algorithme écrit la charge utile directement dans le cache du fichier, contournant totalement les contrôles de permissions.
Répéter l’opération jusqu’à ce que tout le cache contienne le contenu falsifié.

Application à l’escalade de privilèges

La même technique fonctionne sur sudo (exécutable setuid root). En corrompant le cache de sudo pour que son code ne demande pas de mot de passe et n’effectue aucun contrôle, l’attaquant peut exécuter sudo et devenir root sans aucun privilège initial, simplement en lançant un script Python.

Test de vulnérabilité

L’intervenant fournit une commande de test non destructive : python3 copy_fail_check.py. Si l’invite utilisateur normal se transforme en invite root, le système est vulnérable. Sinon, il est déjà patché.

Solution principale et mitigation temporaire

La solution primaire est de mettre à jour le noyau vers la dernière version de sa distribution. En l’absence de patch, il faut désactiver le module ALGIF AEAD avec deux commandes :

# Créer un fichier de configuration pour bloquer le chargement du module
echo "blacklist algif_aead" > /etc/modprobe.d/algif_aead.conf

# Retirer le module de la mémoire immédiatement
rmmod algif_aead

Ce module est rarement utilisé par les applications normales (OpenSSL en espace utilisateur, DM-Crypt, KTLS, IPSec, SSH n’en ont pas besoin). Un impact sur les performances ne se ferait sentir que pour des opérations cryptographiques via AF_ALG socket, ce qui est très rare. Pour revenir à l’état initial après le patch, il suffit de supprimer le fichier de configuration et de redémarrer.

Script d’automatisation

L’intervenant a écrit un script bash téléchargeable qui offre un menu avec quatre options :

Vérifier si le système est vulnérable
Appliquer la mitigation
Annuler la mitigation après patch
Afficher un rapport complet (version du noyau, distribution, statut de la mitigation)

Débat sur la divulgation responsable

L’intervenant justifie la publication de l’exploit avant que toutes les distributions soient patchées : « Un bug dont personne ne connaît l’existence est une porte dérobée permanente dans votre système. Un bug que tout le monde connaît est une opportunité ». Il critique le modèle de « sécurité par l’obscurité » qui ne fonctionne jamais historiquement. La divulgation responsable force les vendeurs à agir rapidement. Cependant, il reconnaît une limite nouvelle : avec l’IA, un bug peut être découvert en une heure de scan, et une fois public, n’importe qui peut l’exploiter à grande échelle. La solution n’est pas le secret, mais la vitesse : des fenêtres de correction mesurées en jours, pas en mois.

Critique structurelle du modèle de privilèges Linux

L’intervenant souligne que le problème dépasse le simple bug dans ALGIF AEAD : « Le modèle de privilèges sur lequel Linux est construit – sudo, su, permissions administrateur accordées en bloc sur toute la machine – montre des fissures structurelles, pas des fissures d’implémentation, des fissures de conception ». Il cite les créateurs d’Unix qui, avec Plan 9, ont conçu un système aux permissions granulaires, contextuelles, non concentrées. Il distingue la philosophie Unix (faire une chose, bien la faire) – qu’il juge solide – de l’implémentation historique qui montre ses limites face à l’évolution technologique.

CONCEPTS CLÉS

Page cache : Structure mémoire du noyau qui stocke le contenu des fichiers lus depuis le disque pour accélérer les accès ultérieurs.
ALGIF AEAD : Module de chiffrement matériel du noyau Linux implémentant l’Authenticated Encryption with Associated Data, utilisé pour optimiser les opérations cryptographiques.
Setuid : Mécanisme Unix permettant à un exécutable de s’exécuter avec les privilèges de son propriétaire (souvent root), quel que soit l’utilisateur qui le lance.
Divulgation responsable : Processus où un chercheur notifie privément un vendeur d’une vulnérabilité, lui accorde un délai (30-90 jours) pour produire un correctif, puis publie publiquement l’information.
Sécurité par l’obscurité : Approche fallacieuse consistant à croire qu’un système est sûr parce que ses failles sont inconnues du public.

CONCLUSION

Le message principal est que Linux n’est pas magiquement sécurisé – c’est un logiciel avec des bugs, comme tout autre système d’exploitation. La vulnérabilité Copy Fail démontre que même un bug présent depuis 10 ans peut passer inaperçu et offrir une escalade de privilèges totale. La vraie force de Linux reste sa transparence : pouvoir voir, comprendre, mitiger et partager les correctifs sans dépendre d’une corporation. Mais cela exige une honnêteté intellectuelle pour reconnaître les limites structurelles du modèle de privilèges hérité d’Unix, et une réactivité accrue face à l’accélération des découvertes de vulnérabilités par l’IA.