Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant local possédant uniquement la capacité CAP_NET_ADMIN
peut charger un module non-réseau avec la commande ifconfig.

Gravité : 1/4

Date création : 25/02/2011

PRODUITS CONCERNÉS

– Linux noyau

DESCRIPTION DE LA VULNÉRABILITÉ

La capacité CAP_NET_ADMIN permet à un utilisateur d’administrer la
configuration réseau. La capacité CAP_SYS_MODULE permet à un
utilisateur de charger un module noyau.

Lorsqu’un administrateur réseau configure une nouvelle carte (via
"ifconfig"), il doit pouvoir charger son module noyau.
Historiquement, la capacité CAP_SYS_MODULE était donc accordée aux
administrateurs réseau. Depuis la version 2.6.32, le noyau
autorise l’administrateur réseau à charger ses modules sans
posséder CAP_SYS_MODULE. Cependant, il n’est pas limité dans les
modules qu’il peut charger. Il peut donc charger n’importe quel
module noyau, même s’il ne possède pas CAP_SYS_MODULE.

Un attaquant local possédant uniquement la capacité CAP_NET_ADMIN
peut donc charger un module non-réseau avec la commande ifconfig.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/Noyau-Linux-chargement-de-module-via-CAP-NET-ADMIN-10399