Les correctifs pour CVE-2021-3347 sont en cours de livraison.
Très récemment, une nouvelle vulnérabilité du noyau Linux a été annoncée.. Elle a été assignée CVE-2021-3347, et est (encore) une autre vulnérabilité liée à futex.
L'aspect pertinent de cette vulnérabilité est qu'elle affecte tout noyau à partir de 2008, jusqu'à la version 5.10.11. C'est-à-dire tout ce qui tourne aujourd'hui, toutes les versions de noyau sur toutes les distributions. Les détails de l'exploit et du code PoC ne sont pas encore disponibles publiquement, mais cela ne garantit pas qu'ils n'existent pas dans la nature.
/* "Les futex sont aussi maudits."
* "Mais ils ont un choix de trois saveurs !"
*/
(à partir du fichier futex.c commentaires)
Les exploits liés au Futex ne sont pas nouveauxLes exploits liés aux futex ne sont pas nouveaux, et ont été la source d'ennuis pour les administrateurs système au fil des ans. Le code derrière les futex a été créé à l'origine comme un moyen de de faciliter l'utilisation des mutex dans le noyau et l'espace utilisateur.mais la logique a rapidement gagné en complexité et de nombreux cas limites ont été trouvés pour causer des problèmes de sécurité.
Un exploit fonctionnel peut conduire à la corruption de la mémoire par le biais d'un Use-After-Freequi peut à son tour conduire à une élévation de privilèges, à l'exfiltration d'informations et à toute une série d'événements désagréables auxquels vous ne voulez pas que vos serveurs soient soumis. Pour ajouter l'insulte à l'injure, il a été classé comme étant facile à exploiter, et possible à exploiter à distance.
Si vous utilisez KernelCare, nous avons déjà commencé à déployer les correctifs pour Ubuntu Focal Fossa, Oracle EL 8 et Redhat EL 8, vos systèmes devraient donc les recevoir prochainement. Les autres systèmes pris en charge suivront sous peu. Nous aurons également des informations plus détaillées concernant cette vulnérabilité dans un prochain article de blog, mais en raison du large éventail de distributions affectées et du potentiel de risque élevé, nous fournissons cette brève information pour sensibiliser aux dangers, en attendant d'autres détails.