Abus de capacités Linux (capabilities abuse)

Définition

L'abus de capacités Linux désigne l'exploitation du mécanisme de capabilities du noyau, introduit pour fragmenter les privilèges historiquement monolithiques du superutilisateur root en unités granulaires attribuables individuellement à un exécutable, permettant par exemple à un processus de manipuler les interfaces réseau sans disposer de l'intégralité des droits root. Lorsqu'une capacité puissante comme celle permettant d'ignorer les vérifications de permissions de fichiers ou de charger des modules noyau est accordée à un binaire disposant par ailleurs d'une fonctionnalité détournable, un attaquant à faibles privilèges capable d'exécuter ce binaire peut l'exploiter pour obtenir une élévation de privilèges équivalente à un accès root complet, bien que le mécanisme ait précisément été conçu pour éviter d'accorder des droits aussi étendus. Cette classe de faiblesse est moins connue et moins systématiquement auditée que le bit SUID classique, ce qui en fait un vecteur d'élévation de privilèges de plus en plus recherché en environnement conteneurisé, où les capacités sont également utilisées pour restreindre les privilèges accordés à un conteneur par rapport à l'hôte sous-jacent. Pour les équipes défensives, la contre-mesure repose sur un audit régulier des capacités attribuées aux exécutables et aux conteneurs du parc, l'application stricte du principe du moindre privilège en n'accordant que les capacités strictement nécessaires à chaque usage, et une vigilance particulière sur les capacités les plus puissantes comme celles liées au chargement de modules noyau.