Cet article, publié par une The Hacker News, met en lumière des découvertes récentes de failles de sécurité par l’unité de recherche sur les menaces de Qualys.
Deux failles de divulgation d’information ont été identifiées dans les gestionnaires de core dumps apport (Ubuntu) et systemd-coredump (RHEL, Fedora), selon la Qualys Threat Research Unit (TRU). Ces vulnérabilités, référencées sous les identifiants CVE-2025-5054 et CVE-2025-4598, reposent sur des conditions de concurrence (race conditions) exploitables en local pour extraire des données sensibles, notamment les hashs de mots de passe du fichier /etc/shadow.
🔍 Détails techniques
- CVE-2025-5054 (CVSS : 4.7) — Une course critique dans Apport (jusqu’à la version 2.32.0) permet à un attaquant local d’exploiter une réutilisation de PID via des namespaces pour obtenir un core dump d’un processus SUID.
- CVE-2025-4598 (CVSS : 4.7) — Une course dans systemd-coredump autorise un attaquant à provoquer un crash d’un processus SUID, puis à le remplacer par un binaire non-SUID ayant le même PID pour accéder au core dump original, contenant potentiellement des secrets comme les hash de mots de passe.
🔐 SUID : permission spéciale permettant à un programme d’être exécuté avec les privilèges de son propriétaire (souvent root), même lancé par un utilisateur non privilégié.
🧪 Exploitation démontrée
Qualys a publié un code de preuve de concept (PoC) montrant qu’un attaquant local peut ainsi extraire des hashs de mots de passe via un core dump du processus unix_chkpwd.
🛡️ Mitigation et portée
-
Red Hat recommande de désactiver les core dumps des binaires SUID via :
echo 0 > /proc/sys/fs/suid_dumpable
🔗 Source originale : https://thehackernews.com/2025/05/new-linux-flaws-allow-password-hash.html