Bonjour,
une petite faille de sécurité ''amusante''
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=555195
GRUB accepts user input as valid password as long as user enters some first
characters of password correctly.
I.e. if /boot/grub/grub.cfg reads:
set superusers="user1"
password user1 password1
Then user can enter "p", "pa", "pas" etc, and GRUB will 'eat it' as correct
password.
Considering that this 'feature' effectively lowers password length to 1 (one),
I've set severity of this bug to 'important'. Feel free to add 'security' tag,
if appropriate.
--> Moi, je le flaggerai bien comme 'important' et comme 'security' tag!
Donc, mettez vous à jour, un caractère comme force d'un mot de passe, c'est tout de même peu :-)
# Accès physique à la machine tout ça...
Posté par psychoslave__ (site web personnel) . Évalué à 9.
Bon c'est un problème de sécurité, sévère je sais pas. Ça dépend sans doute du cas dont on parle. Avez-vous des exemples de situations ou le mot de passe grub est d'une importance critique pour la sécurité du système ? Quid du BIOS et de ses mots de passe maître ?
[^] # Re: Accès physique à la machine tout ça...
Posté par JoeltheLion (site web personnel) . Évalué à 5.
[^] # Re: Accès physique à la machine tout ça...
Posté par psychoslave__ (site web personnel) . Évalué à 1.
[^] # Re: Accès physique à la machine tout ça...
Posté par Octabrain . Évalué à 2.
[^] # Re: Accès physique à la machine tout ça...
Posté par psychoslave__ (site web personnel) . Évalué à 2.
[^] # Re: Accès physique à la machine tout ça...
Posté par Octabrain . Évalué à 2.
[^] # Re: Accès physique à la machine tout ça...
Posté par Olorim . Évalué à 0.
Par contre, le droit de redémarrage à distance, a part en passant par un boitier Perl ou une carte ILO, je vois pas trop comment tu y accède...
Mais bon, si la machine a un mot de passe Grub, j'imagine que les personnes autorisés à redémarrer sont aussi à même de faire du dégâts sans ça. Ou alors, l'admin est franchement mauvais et ferai mieux de changer de taf, pour le bien de l'informatique : la sécurité, c'est pas pour les bricolos du dimanche(contrairement à ce que veut nous faire croire le gouvernement avec HADOPI...).
[^] # Re: Accès physique à la machine tout ça...
Posté par Octabrain . Évalué à 5.
Ah le super amalgame entre "être root" et "pouvoir rebooter"...
[^] # Re: Accès physique à la machine tout ça...
Posté par Olorim . Évalué à 1.
Quand aux postes de travail, faut pas pousser non plus : on industrialise, on met le temps de sélection à 0 secondes, si possible on n'affiche rien (je sait que c'était possible sous LILO, j'imagine que ce doit être faisable sous GRUB) et on verrouille le BIOS. Le cadenas me parait aussi indispensable (j'ai déjà vu des machines de bureau se faire pouiller la RAM...). Mais là encore, si un utilisateur à le droit de rebooter, il y aura une gestion des droits utilisateur d'autant plus rigoureuse.
[^] # Re: Accès physique à la machine tout ça...
Posté par briaeros007 . Évalué à 4.
Pas forcément : on peut vouloir qu'un admin puisse rebooter pour une raison X ou Y, mais ne puisse pas avoir accés aux comptes des utilisateurs (par exemple, premier exemple qui me suis passé par la tête).
[^] # Re: Accès physique à la machine tout ça...
Posté par Olorim . Évalué à 2.
Mais tout ce qui touche à la gestion des disques et FS, les redémarrages, les configurations réseaux, les paramétrage système, ça reste pour le root.
Quand à l'exploit qui permet de redémarrer la machine couplé à un exploit pour utiliser le bug de grub, il faudrait déjà qu'il te permette de le faire à distance d'une part, d'obtenir une élévation de privilège pour écrire ton deuxième exploit sur le FS. Ce deuxième exploit devant être exécuté avant redémarrage pour modifier GRUB. A quoi ça sert vu que t'as déjà un accès à la machine avec un compte avec privilèges? Obtenir le root n'est plus qu'une affaire de patience, suffit juste de savoir rester discret...
Encore une fois, si t'as déjà l'accès physique à la machine, je vois pas pour quoi tu t'embête avec des exploits : BIOS->Boot CD->Boot liveCD-> au revoir Datas...
[^] # Re: Accès physique à la machine tout ça...
Posté par kowalsky . Évalué à 1.
Donc, si je connais un exploit qui fait planter/redemarrer la machine, accoupler à la faille grub, bingo :)
[^] # Re: Accès physique à la machine tout ça...
Posté par Grunt . Évalué à 3.
Ou ça se fait en coupant l'alimentation électrique du bâtiment. À moins d'embarquer un onduleur et un système d'alarme dans la boîte qui protège ton UC, tu ne peux pas être certain qu'un utilisateur malveillant ne se retrouvera pas devant ta machine en train de booter, ne serait-ce que par hasard.
THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
[^] # Re: Accès physique à la machine tout ça...
Posté par 2PetitsVerres . Évalué à 3.
Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.
[^] # Re: Accès physique à la machine tout ça...
Posté par phoenix (site web personnel) . Évalué à 2.
[^] # Re: Accès physique à la machine tout ça...
Posté par briaeros007 . Évalué à 4.
[^] # Re: Accès physique à la machine tout ça...
Posté par briaeros007 . Évalué à 2.
Une carte d'accés à distance qui ne gere pas (désactivé) les périphériques styles cdrom/usb ?
[^] # Re: Accès physique à la machine tout ça...
Posté par Maxime (site web personnel) . Évalué à 2.
Débrancher et rebrancher la prise de courant lorsque celle-ci est disponible... Alternativement, faire un court circuit sur une prise non loin en espérant que ça soit le même disjoncteur.
# En même temps…
Posté par 🚲 Tanguy Ortolo (site web personnel) . Évalué à 10.
[^] # Re: En même temps…
Posté par 🚲 Tanguy Ortolo (site web personnel) . Évalué à 2.
[^] # Re: En même temps…
Posté par the_glu . Évalué à -4.
[^] # Re: En même temps…
Posté par 🚲 Tanguy Ortolo (site web personnel) . Évalué à 5.
[^] # Re: En même temps…1
Posté par the_glu . Évalué à 1.
Après forcément si tu arrives au boulot avec ça pour jouer avec le pc de tes collèges ça sera pas discret, mais y'a toujours un moyen.
Autant se concentrer sur tes données comme par exemple en les chiffrant nan ? (Note que rien n'empêche de par ex. mettre un petit truc entre ton clavier et ton pc. On supprimerait tout le matériel les PCs seraient beaucoup plus faible :] )
[1] http://i17.ebayimg.com/08/i/001/20/76/0bfa_35.JPG
[^] # Re: En même temps…
Posté par dyno partouzeur de drouate . Évalué à 4.
[^] # Re: En même temps…
Posté par Etienne Bagnoud (site web personnel) . Évalué à 6.
Coulé dans du béton armé et enterré à 12 mètres de profondeurs ...
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell
[^] # Re: En même temps…
Posté par Mr Kapouik (site web personnel) . Évalué à 10.
[^] # Re: En même temps…
Posté par Etienne Bagnoud (site web personnel) . Évalué à 5.
Je mets les mines après avoir enterré la machine, je ne laisses pas quelqu'un le faire à ma place, il risquerait de tenter de pirater la machine en creusant le trou (en fait je fais creuser le trou par quelqu'un que j'élimine ensuite (donc il creuse deux trous)) ... On est jamais trop prudent.
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell
[^] # Re: En même temps…
Posté par windu.2b . Évalué à 10.
[^] # Re: En même temps…
Posté par bibitte . Évalué à 8.
[^] # Re: En même temps…
Posté par Grunt . Évalué à 4.
THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
[^] # Re: En même temps…
Posté par kowalsky . Évalué à 10.
la milice armée qui ont ordre de tirer à vu sur tout ce qui ressemble de près ou de loin à un commercial ou un DSI.
Inutile, ces gens la ne savent pas ou est la salle informatique ![^] # Re: En même temps…
Posté par Mr Kapouik (site web personnel) . Évalué à 5.
[^] # Re: En même temps…
Posté par kowalsky . Évalué à 2.
ps : Je suis médisant, en plus je n'aide personne (à part moi même(ce que je fais mal en plus)).
# pas d'urgence...
Posté par NeoX . Évalué à 5.
Found in versions grub2/1.97~beta3-1 et , 1.97~beta3-1~bpo50+1
mais fixé :
Fixed in versions grub2/1.97+experimental.20091110-1, et grub2/1.97+20091115-1
bref fixé depuis mi-novembre, on est mi-decembre
en faisant les mises à jour de mon OS regulierement je suis deja à 1.97-beta4
(les fichiers datent du 7 decembre, y a surement eu des mises à jours entre le 15 nov et le 7 dec)
[^] # >>
Posté par zebra3 . Évalué à 2.
Je pense que ceux qui ont des problèmes de sécurité à utiliser grub 2 sur des systèmes sensibles n'ont que ce qu'ils méritent.
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: >>
Posté par Cyrille Pontvieux (site web personnel, Mastodon) . Évalué à 2.
[^] # Re: >>
Posté par zerkman (site web personnel) . Évalué à 6.
Alors qu'il suffit d'utiliser Emacs.
[^] # Re: >>
Posté par 🚲 Tanguy Ortolo (site web personnel) . Évalué à 2.
# Complément
Posté par kalidor . Évalué à 1.
Le lien du ticket indique la date du 09 nov 2009 et concerne Debian.
Plus récemment (08 décembre 2009) on trouve une même faille (ou de même type) sur Ubuntu 9.10. (cf:[http://seclists.org/fulldisclosure/2009/Dec/200])
Cordialement,
[^] # Re: Complément
Posté par Mr Kapouik (site web personnel) . Évalué à 7.
Franchement vous ne comprenez rien ... C'est pas avec de tel raisonnement que GNU/Linux va devenir user friendly !
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.