Identifiée CVE-2021-3156, il s’agit d’une vieille faille découverte il y a deux semaines seulement par la société d’audit de sécurité Qualys. L’information est remontée immédiatement aux développeurs, qui ont rapidement colmaté la brèche avec la version 1.9.5p2.

Comme toute faille un tant soit peu importante aujourd’hui, elle a un petit nom : Baron Samedit, en référence à l’entité psychopompe du vaudou. Et la vulnérabilité est dangereuse : elle permet à un pirate de gagner des droits root s’il réussit à accéder à un compte aux privilèges faibles, même s’il n’est pas listé dans /etc/sudoers, qui contient les utilisateurs autorisés à se servir des commandes su ou sudo.

Ce qui rend la faille si importante, c’est sa facilité d’exploitation et sa longévité. Ce qui est au départ un bug a été introduit dans le code sudo en juillet 2011, soit il y aura bientôt dix ans. En informatique, une vraie éternité.

Qualys ne sait pas si la vulnérabilité a été exploitée durant cette période. La société a pu développer avec succès du code d’exploitation pour Ubuntu 20.04 (Sudo 1.8.31), Debian 10 (Sudo 1.8.27) et Fedora 33 (Sudo 1.9.2), et il n’y aucune raison pour que les autres systèmes embarquant sudo soient épargnés.

Selon Qualys, Baron Samedit peut être transformé en arme et participer à une attaque en deux temps. L’exploitation peut ainsi être automatisée après l’obtention d’un premier compte en cassant sa protection par force brute. Avec les droits root, tout est ensuite possible.

Il est chaudement recommandé aux utilisateurs de mettre à jour leur système le plus rapidement possible. Il est en fait possible que votre distribution soit déjà à jour si vous l’avez redémarrée au moins une fois au cours des derniers jours, mais au vu du danger, une petite vérification s’impose. 

Pour être exact, il y a eu deux failles supplémentaires découvertes dans sudo récemment, CVE-2019-14287 et CVE-2019-18634. Mais elles sont beaucoup plus complexes à exploiter, car elles réclament des configurations très spécifiques et non standard de sudo.