Trend Micro rend publiques six failles du noyau Linux avant qu'elles soient corrigées

Le 22 octobre, Greg Kroah-Hartman, l'un des principaux responsables du noyau Linux, répond à plusieurs rapports de failles en posant chaque fois la même question. « Pour une raison quelconque, vous avez envoyé cela dans des listes publiques, sans correctif », écrit-il, selon la traduction de Next. Les rapports sont au nombre de six. Ils viennent de la Zero Day Initiative (ZDI), le programme de recherche de failles de Trend Micro.

Selon Next et Phoronix, la ZDI a adressé ces rapports les 21 et 22 octobre à la liste de sécurité privée du noyau, mais avec quatre listes publiques en copie : linux-kernel, linux-cifs, netdev et dri-devel. Leurs détails techniques sont donc lisibles par tous. Au moment de leur diffusion, aucun correctif n'avait été intégré à la branche principale du noyau.

Deux failles notées 9 sur 10 dans le serveur de fichiers intégré

Les deux failles les plus graves touchent ksmbd, le serveur de partage de fichiers SMB intégré au noyau. SMB est le protocole des partages réseau de Windows. ksmbd est compatible avec Samba mais n'est pas Samba. Les deux failles sont notées 9 sur 10 et pourraient permettre d'exécuter du code à distance :

• ZDI-CAN-33774 : une rafale de petits paquets SMB1 suivie d'un paquet SMB2, dans la même écriture TCP, peut provoquer une écriture mémoire hors limites. Selon Next, il suffit d'avoir accès à un partage, sans droit particulier.
• ZDI-CAN-33549 : un dépassement d'entier dans SMB Direct, la variante de SMB qui passe par des réseaux à accès mémoire direct (RDMA). L'attaque suppose une interface compatible, un partage accessible en écriture et l'option SMB Direct, désactivée par défaut. Selon Phoronix, un correctif attend dans la branche de développement de Linux 7.5.

Les quatre autres failles sont moins graves. Trois pourraient permettre d'étendre ses droits sur une machine où l'on a déjà un accès : dans le code réseau (skb_zerocopy), dans le pilote graphique des machines virtuelles VMware (vmwgfx) et dans ConnMan, un gestionnaire de connexions réseau. La quatrième, dans le code NVMe côté cible (nvmet), peut faire fuiter des informations.

Une erreur, ou l'effet des nouvelles règles sur l'IA ?

Phoronix y voit une erreur apparente. Le site Cyber Kendra, cité par Next, note que les rapports attribuent les découvertes à TrendAI, l'outil d'analyse de Trend Micro fondé sur l'intelligence artificielle. Or la documentation du noyau est claire : quiconque a utilisé l'IA pour trouver un bogue doit le traiter comme public. Les mêmes règles demandent de ne transmettre le programme de démonstration que si les responsables le demandent. Elles jugent aussi très souhaitable de proposer un correctif testé. Selon Next, les rapports de Trend Micro n'en contenaient pas.

Ces règles ont été réécrites pour Linux 7.1. Linus Torvalds juge la liste privée « presque totalement ingérable » depuis l'arrivée des outils d'IA, rapporte Next. Au moment de la publication de Next, Trend Micro n'avait pas répondu à ses questions.

Qui est concerné, et que faire ?

Les deux failles critiques ne menacent que les machines où le serveur ksmbd est activé. Selon Next, les correctifs pourraient prendre plusieurs semaines. En attendant :

• vérifier si le module ksmbd est chargé (par exemple avec lsmod | grep ksmbd) et le désactiver s'il ne sert pas ;
• ne jamais exposer un partage SMB sur Internet, et réserver l'accès aux partages ksmbd aux machines qui en ont besoin ;
• laisser SMB Direct désactivé ;
• suivre les bulletins de votre distribution pour installer le noyau corrigé dès sa sortie.

Le 14 octobre, une autre faille du noyau était attribuée à une IA de Tencent. Les outils d'IA trouvent de plus en plus de failles dans Linux, et les responsables du noyau doivent désormais aussi gérer la façon dont elles leur sont signalées.