Exploitation SUID/SGID

Définition

L'exploitation SUID/SGID désigne l'abus de bits spéciaux du système de permissions Unix et Linux, set-user-ID et set-group-ID, qui permettent à un exécutable de s'exécuter avec les privilèges de son propriétaire ou de son groupe plutôt qu'avec ceux de l'utilisateur qui le lance, un mécanisme légitime utilisé par certains utilitaires système nécessitant un accès privilégié ponctuel pour une opération précise. Un attaquant à faibles privilèges identifiant un binaire disposant du bit SUID appartenant à root et présentant une fonctionnalité détournable, comme la capacité d'exécuter une commande arbitraire, de lire ou d'écrire un fichier arbitraire, ou d'invoquer un interpréteur de commande, peut obtenir une élévation de privilèges immédiate vers root sans exploiter de vulnérabilité logicielle à proprement parler, en détournant simplement l'usage prévu du binaire. Cette classe de faiblesse est fréquemment introduite par l'installation de logiciels tiers appliquant ce bit sans justification réelle, ou par un oubli de configuration lors du durcissement initial du système. Une base de données communautaire répertorie systématiquement les binaires connus pour permettre une telle évasion, facilitant l'identification de ces faiblesses lors d'un audit. Pour les équipes défensives, la contre-mesure repose sur un audit régulier de l'ensemble des binaires disposant du bit SUID ou SGID sur le parc, la suppression de ce bit sur tout exécutable ne le justifiant pas strictement, et la journalisation des exécutions de binaires SUID sensibles.