Les correctifs de KernelCare pour l'attaque intercouche ont été publiés

Une nouvelle vulnérabilité (CVE-2020-16166) dans le générateur de nombres pseudo-aléatoires (PRNG) a été découverte par Amit Klein, vice-président de la recherche en sécurité chez SafeBreach et chercheur en sécurité à l'Université Bar-Ilan en Israël.

Cette vulnérabilité ouvre la porte aux attaques en couche croisée, une nouvelle technique de piratage qui présente un risque d'empoisonnement du cache DNS et qui peut permettre l'identification et le suivi non autorisés des appareils Linux et Android.

Les correctifs KernelCare pour Debian 10, Debian 8, Oracle Linux UEK 5 et 6, Ubuntu 18.04, 20.04 sont déjà disponibles. Les correctifs pour RHEL 8 et Oracle Linux UEK 4 seront publiés en début de semaine prochaine.

Contenu :

1. A propos de CVE-2020-16166, Attaque de couche croisée

2. Distributions Linux affectées par CVE-2020-16166

3. Réponse de KernelCare

A propos de CVE-2020-16166, Attaque de couche croisée

À partir de la version 5.7.11 du noyau, les attaquants distants peuvent faire des observations sur le noyau Linux qui permettent à l'attaquant d'extraire des informations sensibles sur l'état interne de la RNG (génération de nombres aléatoires) sur un réseau. Cela concerne deux morceaux de code du noyau : drivers/char/random.c et kernel/time/timer.c.

CVE-2020-16166 permet aux attaquants de monter ce que l'on appelle une attaque "cross-layer". Cette attaque contre le noyau Linux exploite une faiblesse spécifique dans la façon dont le PRNG (pseudo random number generation) est géré dans Linux.

L'attaque est possible car, sur certains systèmes Linux, le PRNG défectueux alimente trois algorithmes clés du réseau :

• Génération du port source UDP
• Génération d'étiquettes de flux IPv6
• Génération d'ID IPv4

Les attaquants commencent par déduire l'état interne du PRNG sur une couche OSI spécifique du réseau. Ensuite, les attaquants utilisent cette faiblesse de sécurité pour prédire une valeur aléatoire dans une autre couche OSI. Cette capacité à prédire des valeurs aléatoires signifie que l'attaquant obtient la possibilité d'empoisonner le cache DNS dans certains systèmes Linux.

Ce risque d'empoisonnement du DNS existe aussi bien pour les réseaux locaux que pour les réseaux distants. Cependant, le serveur DNS empoisonné doit se trouver en dehors du réseau cible.

En outre, la possibilité de faire des déductions sur la génération de nombres aléatoires à l'intérieur d'un système Linux peut également donner aux attaquants la possibilité de suivre les utilisateurs d'appareils Android et Linux.

Notez que seuls les systèmes Linux et les autres systèmes d'exploitation basés sur le noyau Linux, comme Android, sont vulnérables à cette attaque.

La solution à ce vecteur d'attaque est de remplacer le PRNG actuel de Linux par un algorithme qui offre une génération de nombres aléatoires plus forte. Les versions récentes de Linux contiennent un PRNG amélioré.

Notez également que les applications utilisant le DNS sur HTPS bloqueront l'attaque, mais seulement si le serveur DNS et le résolveur de stub supportent pleinement le DNS sur HTPS. Cependant, le DNS sur HTPS n'élimine pas le risque de suivi des appareils.

Notez que bien que Debian Linux et CentOS Linux n'utilisent pas de caches DNS, ces deux distributions Linux sont toujours vulnérables à CVE-2020-16166.

Distributions Linux affectées par CVE-2020-16166

Amit Klein, le chercheur qui a découvert la vulnérabilité, affirme que les serveurs Ubuntu sont les plus vulnérables. Les caractéristiques uniques du stub resolver d'Ubuntu impliquent que les attaquants ont la possibilité d'une attaque DNS particulièrement puissante visant les serveurs Ubuntu.

Cela implique un risque important, selon M. Klein, étant donné que 13,4 % des serveurs web du monde fonctionnent sous Ubuntu. En outre, 3,4 % des serveurs web utilisent une combinaison d'Ubuntu et d'un serveur DNS public. Cela satisfait aux conditions préalables pouvant mener à l'exploitation de CVE-2020-16166.

M. Klein a déclaré au Daily Swig qu'il pense que les chiffres ci-dessus sont une estimation prudente, car les serveurs qui utilisent un DNS privé (d'un fournisseur d'accès Internet, par exemple) sont également ouverts à une attaque - mais cela demandera plus de travail et de préparation de la part de l'attaquant. Klein dit qu'il ne peut pas prédire la faisabilité d'une attaque lorsqu'un DNS privé est utilisé sur un serveur Linux vulnérable.

Néanmoins, M. Klein prévient que l'empoisonnement du cache DNS ouvre la porte à un large éventail de problèmes de sécurité. Il en énumère quelques-uns, notamment la compromission de la sécurité du courrier électronique, le détournement du trafic HTTP et du courrier électronique, ainsi que la possibilité de contourner les protections anti-spam et les listes noires.

CVE-2020-16166 peut également permettre à un attaquant de monter une attaque DoS locale (blackhole hosts), de compromettre la résolution DNS inverse et de monter une attaque sur le client NTP (Network Time Protocol), un outil critique qui maintient l'horloge d'un serveur Linux.

Réponse de KernelCare

Les correctifs pour Debian 10, Debian 8, Oracle Linux UEK 5 et 6, Ubuntu 18.04, 20.04 sont maintenant disponibles et seront appliqués à tous les systèmes avec KernelCare installé dans les 4 prochaines heures.

Les correctifs pour Oracle Linux UEK4, RHEL8(CentOS 8, CL8, CL7h) seront publiés en début de semaine prochaine.

Notez que les correctifs de RHEL 7 ne sera pas pris en compte par le fournisseur.