Faille de sécurité dans sudo en réinitialisant l'heure système

Une faille de sécurité a été découverte permettant à un pirate de contourner les protections offertes par sudo. Celle-ci contourne à la fois l'utilisation de sudo et du mot de passe correspondant.

Sur les systèmes Unix, la commande sudo est utilisée pour exécuter des commandes avec les privilèges d'autres utilisateurs mais en utilisant le mot de passe de l'utilisateur actuellement connecté. Cette fonction est utilisée dans Mac OS X et des distribs Linux comme Ubuntu pour permettre aux utilisateurs d'effectuer des tâches administratives sans à se connecter en tant que root. Après authentification, un timestamp est utilisé (généralement de 5 minutes) pendant lequel il n'est pas nécessaire de rentrer à nouveau le mot de passe.

Pour que cette faille arrive à ses fins, l'utilisateur connecté doit être répertorié dans /etc/sudoers, qui précise également les programmes qui peuvent être exécutés avec certains privilèges. L'utilisateur doit aussi avoir entré au moins une commande sudo et s'être authentifié correctement. Il doit être également possible de modifier l'heure du système sans entrer de mot de passe.

Bon ça fait beaucoup de conditions, mais si elles sont remplies, il suffit de réinitialiser le timestamp à l'aide de la commande sudo -k et de définir l'heure du système au 1 Janvier 1970 (début du temps Unix) pour permettre à l'utilisateur d'exécuter des commandes sudo auquel il a accès. Sur Ubuntu et Mac OS X, le premier utilisateur créé fait parti automatiquement du groupe admin et est autorisé à utiliser sudo pour exécuter toutes les commandes disponibles sur le système.

Il est à noter que le changement de date est généralement une action privilégiée qui exigerait le mot de passe root ou des privilèges admin. Dans le cas de Mac OS X, il est possible de laisser les préférences du temps système déverrouillées. Il est conseillé de créer un utilisateur qui ne dispose pas de privilèges admin et d'utiliser cet utilisateur pour réduire l'exposition à cette vulnérabilité.

Les versions de sudo 1.6.0 à 2.7.10p6 et 1.8.0 à 1.8.6p6 sont affectées. La vulnérabilité a été corrigée dans les versions 1.7.10p7 et 1.8.6p7. Mac OS X utilise sudo 1.7.4p6 et est donc vulnérable jusqu'à ce qu'Apple fournisse une mise à jour.