La soci\u00e9t\u00e9 Qualys a d\u00e9tect\u00e9 une vuln\u00e9rabilit\u00e9 (CVE-2025-6019) dans la biblioth\u00e8que libblockdev, permettant, par des manipulations du processus en arri\u00e8re-plan udisks, d'obtenir des droits root sur le syst\u00e8me. Le fonctionnement d'un prototype d'exploit a \u00e9t\u00e9 d\u00e9montr\u00e9 sur Ubuntu, Debian, Fedora et openSUSE Leap 15. <\/p>\n
Le processus udisks est utilis\u00e9 dans presque toutes les distributions Linux et fournit une interface D-Bus pour effectuer des op\u00e9rations sur les p\u00e9riph\u00e9riques de stockage, telles que le montage et le formatage. Pour ex\u00e9cuter des actions sur les p\u00e9riph\u00e9riques, udisks appelle des fonctions de la biblioth\u00e8que libblockdev. L'acc\u00e8s \u00e0 udisks est par d\u00e9faut limit\u00e9 aux utilisateurs travaillant dans le contexte \u00ab allow_active \u00bb, c'est-\u00e0-dire ceux ayant un acc\u00e8s physique \u00e0 l'ordinateur et connect\u00e9s via la console locale ou ayant lanc\u00e9 une session graphique. Les utilisateurs se connectant \u00e0 distance, par exemple via ssh, ne font pas partie de ce contexte et ne peuvent pas exploiter la vuln\u00e9rabilit\u00e9 directement. <\/p>\n
Pour contourner cette restriction, on peut utiliser une astuce permettant d'\u00e9lever le niveau d'authentification \u00e0 \u00ab allow_active \u00bb en manipulant le lancement de l'utilitaire systemctl d'un service utilisateur, que polkitd interpr\u00e9tera comme un signe de session locale. L'id\u00e9e de la m\u00e9thode est que polkitd d\u00e9termine la pr\u00e9sence d'un acc\u00e8s physique et attribue le niveau \u00ab allow_active \u00bb sur la base d'indices indirects, sur lesquels il est possible d'agir. La limitation de la m\u00e9thode est que pour tromper polkitd, il faut qu'une session utilisateur locale avec acc\u00e8s physique soit d\u00e9j\u00e0 active dans le syst\u00e8me. <\/p>\n
La deuxi\u00e8me m\u00e9thode pour obtenir les droits \u00ab allow_active \u00bb consiste \u00e0 exploiter la vuln\u00e9rabilit\u00e9 (CVE-2025-6018) dans PAM (Pluggable Authentication Modules), que des chercheurs de Qualys ont d\u00e9couvert lors de l'analyse d'une vuln\u00e9rabilit\u00e9 dans libblockdev. Cette vuln\u00e9rabilit\u00e9 permet \u00e0 tout utilisateur, y compris ceux se connectant via SSH, d'ex\u00e9cuter des op\u00e9rations dans le contexte \u00ab allow_active \u00bb. Le probl\u00e8me est sp\u00e9cifique aux configurations de PAM dans openSUSE Leap 15 et SUSE Linux Enterprise 15, et ne se manifeste que dans ces distributions. <\/p>\n
Dans le module pam_env d'openSUSE et SUSE, la lecture du fichier ~\/.pam_environment est activ\u00e9e par d\u00e9faut. \u00c0 travers ce fichier, l'utilisateur peut d\u00e9finir les variables d'environnement XDG_SEAT=seat0 et XDG_VTNR=1, qui seront interpr\u00e9t\u00e9es comme un signe de pr\u00e9sence physique de l'utilisateur lors du traitement ult\u00e9rieur, m\u00eame si la connexion est effectu\u00e9e par SSH. Le module pam_env est \u00e9galement appel\u00e9 lors de la connexion par ssh dans Debian 12 et Ubuntu 24.04 (dans Debian 13 et Ubuntu 24.10+, il est d\u00e9sactiv\u00e9), mais la d\u00e9finition des variables d'environnement dans ces distributions ne peut \u00eatre utilis\u00e9e pour \u00e9lever le niveau d'acc\u00e8s \u00e0 \u00ab allow_active \u00bb, car pam_env est appel\u00e9 \u00e0 la phase finale apr\u00e8s le chargement du module pam_systemd et les variables d'environnement d\u00e9finies ne peuvent pas affecter les param\u00e8tres de session. <\/p>\n
Concernant la vuln\u00e9rabilit\u00e9 dans libblockdev, un attaquant peut monter une image de syst\u00e8me de fichiers arbitraire en mode loop, en pla\u00e7ant dans cette image un fichier ex\u00e9cutable avec le drapeau SUID root ou un p\u00e9riph\u00e9rique sp\u00e9cial (\/dev\/mem) pour un acc\u00e8s bas niveau aux disques ou \u00e0 la m\u00e9moire. Pour bloquer de telles attaques, les images du syst\u00e8me de fichiers sont mont\u00e9es par le syst\u00e8me avec les drapeaux nosuid et nodev, mais la vuln\u00e9rabilit\u00e9 dans libblockdev permet de monter une image sans les drapeaux nosuid et nodev. L'essence de la vuln\u00e9rabilit\u00e9 r\u00e9side dans le fait que udisks permet \u00e0 un utilisateur avec un niveau d'acc\u00e8s \u00ab allow_active \u00bb de modifier la taille de ses syst\u00e8mes de fichiers, et libblockdev monte temporairement le syst\u00e8me de fichiers sans d\u00e9finir les drapeaux nosuid et nodev durant cette op\u00e9ration. <\/p>\n
Ainsi, l'attaque consiste \u00e0 cr\u00e9er un dispositif loop bas\u00e9 sur une image de syst\u00e8me de fichiers XFS, contenant un fichier suid root, \u00e0 initier l'op\u00e9ration de redimensionnement du dispositif loop et \u00e0 suivre le moment o\u00f9 il est mont\u00e9 dans le r\u00e9pertoire \/tmp\/blockdev*: victime> killall -KILL gvfs-udisks2-volume-monitor victime> udisksctl loop-setup \u2014file .\/xfs.image \u2014no-user-interaction Fichier mapp\u00e9 .\/xfs.image comme \/dev\/loop0. victime> while true; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victime> gdbus call \u2014system \u2014dest org.freedesktop.UDisks2 \u2014object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 \u2014method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Erreur : GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Erreur lors du redimensionnement du syst\u00e8me de fichiers sur \/dev\/loop0 : Impossible de d\u00e9monter '\/dev\/loop0' apr\u00e8s l'avoir redimensionn\u00e9 : la cible est occup\u00e9e -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 \/tmp\/blockdev.RSM429\/bash victime> \/tmp\/blockdev*\/bash -p victime# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody) <\/p>\n
La vuln\u00e9rabilit\u00e9 dans libblockdev a jusqu'\u00e0 pr\u00e9sent \u00e9t\u00e9 corrig\u00e9e uniquement sous forme de correctifs. Pour v\u00e9rifier l'\u00e9tat de la nouvelle version du paquet ou de la pr\u00e9paration d'une correction dans les distributions, vous pouvez consulter les pages suivantes (si la page n'est pas accessible, cela signifie que les d\u00e9veloppeurs de la distribution n'ont pas encore commenc\u00e9 \u00e0 examiner le probl\u00e8me) : Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo et Arch (1, 2). Comme solutions de contournement pour bloquer la vuln\u00e9rabilit\u00e9, vous pouvez modifier la r\u00e8gle d'acc\u00e8s \u00e0 l'op\u00e9ration \u00ab org.freedesktop.udisks2.modify-device \u00bb dans polkit, en changeant dans le fichier \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy la valeur du param\u00e8tre \u00ab allow_active \u00bb de \u00ab yes \u00bb \u00e0 \u00ab auth_admin \u00bb. <\/p>\n