Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
L'agence américaine chargée de la cybersécurité et de la sécurité des infrastructures (CISA) a récemment ajouté deux vulnérabilités du noyau Linux à son catalogue des vulnérabilités connues exploitées (KEV), signalant ainsi que ces risques de sécurité auparavant théoriques sont désormais des menaces confirmées, activement exploitées par des acteurs malveillants. Cette évolution exige une attention immédiate de la part des administrateurs Linux et des professionnels de la sécurité.
Les vulnérabilités en question, CVE-2024-53197 et CVE-2024-53150ont toutes deux reçu un score CVSS de 7,8 et affectent le pilote ALSA USB-audio du noyau Linux. Les agences de la Federal Civilian Executive Branch (FCEB) sont désormais tenues de corriger ces vulnérabilités d'ici au 30 avril 2025conformément à la directive opérationnelle contraignante (BOD) 22-01. Il est vivement conseillé aux autres organisations de faire de même.
Comprendre les vulnérabilités
CVE-2024-53197 : Accès à la mémoire hors limites dans le pilote USB-Audio
Cette vulnérabilité affecte spécifiquement les dispositifs Extigy et Mbox et implique une gestion incorrecte des données de configuration USB. Le problème provient de la variable bNumConfigurations fourni par les périphériques USB connectés. Si cette valeur dépasse l'espace de configuration alloué en mémoire, les opérations ultérieures du noyau pourraient accéder à la mémoire au-delà des limites prévues.
Les détails techniques révèlent que lorsqu'un dispositif USB malveillant ou mal configuré fournit un bNumConfigurations supérieure à la valeur allouée dans usb_get_configuration pour dev->configcela peut conduire à un accès à la mémoire hors limites lors d'opérations ultérieures telles que usb_destroy_configuration. Cela présente des risques importants de corruption de la mémoire ou d'instabilité du système.
Le correctif mis en œuvre valide le compte de configuration avant utilisation, garantissant que le noyau n'accède pas à la mémoire en dehors des régions allouées.
CVE-2024-53150 : Lectures hors limites dans le cadre d'un traçage de descripteur d'horloge
La seconde vulnérabilité concerne le pilote ALSA USB-audio du noyau Linux, qui ne valide pas le paramètre bLength dans les descripteurs d'horloge audio USB pendant la traversée. Sans validation appropriée, un périphérique USB malveillant ou mal configuré pourrait fournir un descripteur avec un champ bLengthplus court que prévu, ce qui pourrait déclencher des lectures hors limites.
Le correctif introduit des contrôles d'intégrité dans les fonctions de validation pour la traversée des descripteurs d'horloge. Lorsque la longueur d'un descripteur est plus courte que prévu, il est désormais ignoré dans la boucle. Pour les descripteurs de source d'horloge et de multiplicateur, le correctif implémente une vérification par rapport à la fonction sizeof() de chaque type de descripteur. Le descripteur de sélecteur d'horloge a nécessité des vérifications supplémentaires en raison de sa structure plus complexe contenant un tableau de bNrInPins et des champs supplémentaires.
Un contexte plus large : Explosion des rapports sur les vulnérabilités du noyau
Ces nouveaux ajouts de KEV interviennent dans un contexte d'augmentation sans précédent des CVE du noyau Linux, ce qui pose d'importants problèmes aux équipes de sécurité qui tentent de hiérarchiser les correctifs et les mesures d'atténuation. Cette augmentation spectaculaire est directement liée au fait que l'équipe du noyau Linux est devenue une autorité de numérotation CVE (CNA) en 2024 et a adopté une approche consistant à attribuer des CVE à la quasi-totalité des bogues :
- 2022: 309 CVE totaux du noyau
- 2023290 CVE totaux du noyau
- 2024: 3 887 CVE du noyau au total (après être devenu un CNA)
- 2025: 1 476 CVE de noyaux au cours des trois premiers mois seulement
Cette multiplication par plus de 13 entre 2023 et 2024 a créé ce que l'on peut qualifier de "fatigue CVE", rendant de plus en plus difficile la distinction entre les vulnérabilités réellement critiques et les problèmes moins graves.
Implications pour les équipes de sécurité
L'ajout de ces vulnérabilités au catalogue KEV de la CISA marque une distinction essentielle. Alors que des milliers de vulnérabilités du noyau sont divulguées chaque année, l'inclusion dans la liste KEV confirme que ces failles particulières sont activement exploitées dans la nature. Elles passent ainsi du statut de risques théoriques à celui de menaces immédiates nécessitant une attention rapide.
Pour les organisations déjà aux prises avec l'avalanche de CVE du noyau, cette situation pèse encore davantage sur des ressources limitées. Les équipes de sécurité doivent maintenant :
- Identifier les systèmes affectés dans leur environnement
- Prioriser les correctifs en fonction de l'exposition et de la criticité
- Mettre en œuvre des mesures d'atténuation pour les systèmes qui ne peuvent pas être corrigés immédiatement.
- Surveiller les tentatives d'exploitation utilisant les détails de la vulnérabilité désormais publique.
- Optez pour une approche différente en ce qui concerne la méthodologie de correction et choisissez une technologie de correction sans redémarrage comme KernelCare Enterprise de TuxCare qui peut corriger sans interruption.
Actions recommandées
Mesures immédiates
- Identifier les systèmes vulnérables: Procéder à un inventaire pour identifier les systèmes Linux susceptibles d'être affectés, en particulier ceux auxquels sont connectés des périphériques USB.
- Appliquer les correctifs disponibles: Mise à jour vers les versions du noyau contenant les correctifs pour ces vulnérabilités. Les correctifs ont été reportés dans les branches maintenues du noyau.
- Mise en œuvre des contrôles des périphériques USB: Lorsqu'il n'est pas possible d'appliquer immédiatement des correctifs, il faut envisager de limiter ou de restreindre les connexions de périphériques USB, en particulier sur les serveurs et les systèmes critiques.
- Surveiller les activités suspectes: Améliore la surveillance des comportements inhabituels du système, notamment en ce qui concerne les connexions et déconnexions de périphériques USB.
Stratégie à long terme pour la gestion de l'inondation CVE
- Gestion des vulnérabilités basée sur les risques: Développez un cadre qui priorise les vulnérabilités en fonction du risque réel pour votre environnement plutôt que d'essayer de tout patcher.
- Moderniser la gestion des correctifs: Investissez dans des solutions capables d'automatiser la correction des vulnérabilités au fur et à mesure qu'elles sont connues, sans nécessiter de temps d'arrêt ou d'interruption de service, comme le rebootless live patching sans redémarrage.
- Approches de défense en profondeur: Mettre en œuvre des contrôles de sécurité supplémentaires qui peuvent atténuer l'exploitation même lorsqu'il existe des vulnérabilités.
- S'engager avec la Communauté: Participez aux forums et aux discussions sur la sécurité Linux pour rester informé des vulnérabilités qui comptent vraiment.
Réflexions finales
L'ajout de ces vulnérabilités du noyau Linux au catalogue KEV de CISA souligne les menaces réelles qu'elles représentent. Bien que la croissance explosive des vulnérabilités du noyau pose des problèmes aux équipes de sécurité, le fait de se concentrer sur les vulnérabilités dont l'exploitation active est confirmée permet d'établir plus clairement les priorités.
Alors que le projet du noyau Linux poursuit son approche plus globale de l'attribution des CVE, les professionnels de la sécurité doivent s'adapter en développant des stratégies de gestion des vulnérabilités plus sophistiquées qui se concentrent sur les risques plutôt que d'essayer de traiter chaque problème signalé.
Pour les organisations centrées sur Linux, ces développements renforcent le besoin de ressources dédiées à la sécurité du noyau et mettent en évidence la tension permanente entre la divulgation complète des vulnérabilités et les opérations pratiques de sécurité.
