Google paie 250 000 dollars pour une vuln\u00e9rabilit\u00e9 Linux permettant des \u00e9chapp\u00e9es de machines virtuelles invit\u00e9es<\/p>\n
Google a vers\u00e9 une r\u00e9compense de 250 000 dollars pour une d\u00e9couverte de vuln\u00e9rabilit\u00e9 affectant le noyau Linux qui pourrait permettre \u00e0 un attaquant de s’\u00e9chapper d’une machine virtuelle invit\u00e9e et d’ex\u00e9cuter du code sur l’h\u00f4te.<\/p>\n
La faille de s\u00e9curit\u00e9, identifi\u00e9e comme CVE-2024-53104, a \u00e9t\u00e9 d\u00e9couverte par Trend Micro Zero Day Initiative et corrig\u00e9e dans la version 6.12 du noyau Linux publi\u00e9e en novembre 2024.<\/p>\n
La vuln\u00e9rabilit\u00e9 r\u00e9side dans le pilote GPU virtuel de Intel appel\u00e9 i915, largement utilis\u00e9 dans les environnements de cloud computing pour fournir des capacit\u00e9s d’acc\u00e9l\u00e9ration graphique aux machines virtuelles.<\/p>\n
Selon l’avis de s\u00e9curit\u00e9, le probl\u00e8me d\u00e9coule d’une validation d’entr\u00e9e inad\u00e9quate dans le pilote, qui pourrait permettre \u00e0 un utilisateur local de faire planter le syst\u00e8me ou potentiellement d’\u00e9lever ses privil\u00e8ges.<\/p>\n
Dans les environnements virtualis\u00e9s, cette faille pourrait permettre \u00e0 un attaquant contr\u00f4lant une machine virtuelle invit\u00e9e de s’\u00e9chapper vers le syst\u00e8me h\u00f4te sous-jacent, ce qui repr\u00e9sente un risque s\u00e9rieux pour les infrastructures multi-locataires comme les plateformes de cloud public.<\/p>\n
Le prix de 250 000 dollars repr\u00e9sente la r\u00e9compense maximale dans le cadre du programme kCTF de Google, qui se concentre sp\u00e9cifiquement sur les vuln\u00e9rabilit\u00e9s d’\u00e9chapp\u00e9e de machines virtuelles affectant le noyau Linux. Le programme offre des r\u00e9compenses allant de 20 000 \u00e0 250 000 dollars en fonction de la gravit\u00e9 et de la qualit\u00e9 de la d\u00e9couverte.<\/p>\n
Google a publiquement remerci\u00e9 le chercheur de Trend Micro, soulignant l’importance de la recherche collaborative en s\u00e9curit\u00e9 pour prot\u00e9ger l’\u00e9cosyst\u00e8me Linux.<\/p>\n
La correction a \u00e9t\u00e9 int\u00e9gr\u00e9e dans les versions stables du noyau Linux, et les fournisseurs de cloud et les distributeurs Linux sont encourag\u00e9s \u00e0 mettre \u00e0 jour leurs syst\u00e8mes rapidement. Red Hat a publi\u00e9 son propre avis de s\u00e9curit\u00e9 pour la vuln\u00e9rabilit\u00e9, la classant comme mod\u00e9r\u00e9ment grave.<\/p>\n
Bien que l’exploitation de CVE-2024-53104 n\u00e9cessite un acc\u00e8s local et des conditions sp\u00e9cifiques, sa capacit\u00e9 potentielle \u00e0 briser l’isolation des machines virtuelles en fait une cible de grande valeur pour les attaquants sophistiqu\u00e9s ciblant les infrastructures cloud.<\/p>\n
Cette d\u00e9couverte souligne l’importance continue des programmes de r\u00e9compense de vuln\u00e9rabilit\u00e9s dans l’identification et la r\u00e9solution des failles de s\u00e9curit\u00e9 critiques avant qu’elles ne puissent \u00eatre exploit\u00e9es dans des attaques r\u00e9elles.<\/p>\n","protected":false},"excerpt":{"rendered":"
Google paie 250 000 dollars pour une vuln\u00e9rabilit\u00e9 Linux permettant des \u00e9chapp\u00e9es de machines virtuelles invit\u00e9es Google a vers\u00e9 une r\u00e9compense de 250 000 dollars pour une d\u00e9couverte de vuln\u00e9rabilit\u00e9 affectant le noyau Linux qui pourrait permettre \u00e0 un attaquant de s’\u00e9chapper d’une machine virtuelle invit\u00e9e et d’ex\u00e9cuter du code sur l’h\u00f4te. La faille de<\/p>\n","protected":false},"author":0,"featured_media":2443,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[52],"tags":[],"class_list":["post-2442","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie-2"],"_links":{"self":[{"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/posts\/2442","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/comments?post=2442"}],"version-history":[{"count":0,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/posts\/2442\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/media\/2443"}],"wp:attachment":[{"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/media?parent=2442"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/categories?post=2442"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/tags?post=2442"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}