Un bug permet de pirater facilement les systèmes d’exploitation OpenBSD et Linux

Pour tous ceux qui utilisent un système d’exploitation sous Linux ou OpenBSD, une faille de sécurité vient d’être mise au jour par des développeurs de la Fondation X.Org. Les experts en cybersécurité ont dévoilé la brèche le jeudi 25 octobre 2018 à travers un communiqué détaillé.

Les développeurs ont indiqué que le bug en question se trouvait dans le pack serveur X.Org. Les spécialistes ont également expliqué que cette vulnérabilité permet aux utilisateurs malintentionnés de s’infiltrer dans le serveur pour accéder à plus de privilèges et obtenir un accès root.

Docusign hack

Parmi les distributions touchées par le bug, on peut citer Red Hat Enterprise Linux et OpenBSD mais aussi Fedora, CentOS, Debian et Ubuntu.

Que sait-on de ce fameux bug ?

Selon les explications détaillées des experts, le bug se manifeste suite à une mauvaise utilisation des options de lignes de commandes -logfile et –modulepath. Résultat : le système d’exploitation devient très vulnérable aux intrusions extérieures.

Les pirates peuvent alors insérer et exécuter des commandes malveillantes sur votre système à votre insu.

Les hackers ne peuvent exploiter cette faille que si le paquet X.Org Server fonctionne avec les privilèges root. Il s’agit malheureusement de la configuration la plus courante pour la plupart des distributions actuelles.

Les développeurs de X.Org se veulent cependant rassurants en affirmant que cette faille de sécurité n’est pas critique. Elle n’en reste pas moins inquiétante quand on sait qu’OpenBSD compte parmi les systèmes d’exploitation les plus sécurisés au monde.

La faille existerait depuis 2016

Dans un document détaillé, un chercheur en sécurité du nom de Narendra Shinde a dévoilé que le bug est en fait présent dans le paquet X.Org Server depuis près de 23 mois, plus précisément depuis le mois de mai 2016. Comment se fait-il que le bug n’ait été rendu public que deux ans après ? Les responsables de la société n’ont pas fait de commentaires sur le sujet.

Pour corriger le problème « au plus vite, » les développeurs de X.Org ont conçu et publié le serveur X.Org Server 1.20.3. Ce dernier permet de désactiver les paramètres -logfile et –modulepath pour empêcher les pirates d’accéder aux privilèges root du système.

Mots-clés sécurité