Tom's Hardware > Actualités > Logiciels, jeux vidéos > Drivers > Faille de sécurité dans les pilotes linux de Nvidia

Faille de sécurité dans les pilotes linux de Nvidia

17:21 - mardi 17 octobre 2006 par Fabrice Greff, 2007-11-08 - source: HardOCP

La firme de sécurité Rapid7, LLC Security Advisory, a publié une note signalant que les pilotes graphiques de NVIDIA pour Linux contiennent une faille de sécurité que la firme californienne tarde à combler.

Une faille de type Buffer Overflow

De type « buffer overflow », cette faille permettrait à un hacker de lancer un code arbitraire en tant que root. Ce bug, précise Rapid7 est exploitable localement ou à distance (via un client X à distance ou un client X visitant une page Web « malicieuse »).

Un bug présent depuis 2004

Cette faille présente dans les pilotes Linux v8762 et v8774 ne date pas d’hier si l’on croit Rapid7. Elle aurait été rapportée sur plusieurs forums dont celui de NVnews dès 2004, mais NVIDIA n’a publiquement admis l’existence de ce bug qu’en juillet dernier. Un employé de la firme californienne était intervenu sur le forum de Nvnews pour indiquer qu’il avait réussi à reproduire le problème et lui avait assigné l’ID No 239065 en promettant qu’un correctif serait prochainement publié.

Une seule solution, non satisfaisante

A ce jour, les pilotes Linux de NVIDIA contiennent toujours cette vulnérabilité qui pourrait également toucher les pilotes FreeBSD et Solaris. Se basant sur de nombreux témoignages publiés sur des forums publics, Rapid7 considère que ces pilotes font courir un risque inacceptable pour la sécurité.

En attendant la sortie d’un éventuel correctif, Rapid7 conseille de désactiver le pilote propriétaire de NVIDIA et d’utiliser le pilotes « NV » open source intégré par défaut à X. Hélas, contrairement aux pilotes graphiques propriétaires de NVIDIA, le pilote linux Open Source ne prend pas en charge l’accélération 3D des GPU.

Commentaires

Lire plus

Commentaires

Ajouter un commentaire

Précédente
1 / 2
Suivante

Seb c est bien 17/10/2006 19:02

Masquer

Bah...bah !!! :??:

Je croyais que Linux, tout ça, quoi... [:dawa]

dsant2 17/10/2006 19:28

Masquer

C'est pas Linux-Unix qui est plus sécurisé, c'est la programation open source.

ultrabill 17/10/2006 19:34

Masquer

Citation :Bah...bah !!! :??:

Je croyais que Linux, tout ça, quoi... [:dawa]

Nan c'est pas Linux, c'est un pilote

Marrant, quand c'est un pilote Windows on dit que Microsoft c'est de la merde [:xam]

trougnouf 17/10/2006 21:34

Masquer

Citation :

Nan c'est pas Linux, c'est un pilote

Marrant, quand c'est un pilote Windows on dit que Microsoft c'est de la merde [:xam]

Justement Linux est libre/opensource et ne nous fais generalement pas dependre du bon-vouloir d'une societe/personne puisque la communautee se bouge instantanement.

La on a a faire a un driver Ferme qui adopte la meme politique "de merde"(je reprend ton therme a sa bonne place) que Microsoft, CAD ferme et le systeme est condamne grace au bon vouloir d'une boite.

ultrabill 17/10/2006 21:58

Masquer

Citation :

T'as pas compris le sens de ma remarque

- faille de sécurité dans les pilotes windows de Nvidia
- :fou:

Micro$oft Windaube c'est trop pourris

- faille de sécurité dans les pilotes linux de Nvidia
- :fou:

Nvidia c'est trop pourris

C'est tout

M'en fout que ce soit OpenSource gentil ou ClosedSource méchant [:stronul]

hysteric 17/10/2006 22:28

Masquer

Quand on dit que les Setpoint sont des drivers pourris, c'est pas sur gro$$oft qu'on balance le pavé.
Quand on disait que les catalyst étaient pourris (c'est pas si vieux) c'etait toujours pas contre gro$$oft.

On râle sur gro$$oft: à cause d' IE, à cause d'outlook et autres (qui a parlé de blaster et autre virus amoureux? )

Ca va mieux mais mais bon le fait d'avoir des correctifs qui tombent trop régulièrement ça ne
donne pas trop confiance.

Sn4kY 18/10/2006 00:56

Masquer

tu sais, dans ce cas, les kernels utilisés par GNU/Linux sont très régulièrement mis à jour...

tiens ça sent l'apt-get dist-upgrade ça !

Loacoon 18/10/2006 02:59

Masquer

Citation :

tu sais, dans ce cas, les kernels utilisés par GNU/Linux sont très régulièrement mis à jour...

tiens ça sent l'apt-get dist-upgrade ça !

Je vois mal le rapport entre une rustine et le développement du kernel...
Considères une mise a jour du kernel comme l'équivalent d'une nouvelles version de Windows, pas comme un patch.

Dans tous les cas comme Hysteric l'a dit, on blame pas MS pour les pilotes Creative... La faute revient a NV pour ca et personne d'autre.

GOSkywalker13 18/10/2006 06:56

Masquer

Et pour ceux qui n'ont pas la nécessité de l'OpenGL, le pilote "nv" marche très bien. C'est une alternative non négligable pour régler le problème.

revlis 18/10/2006 09:40

Masquer

Lorsqu'une faille attaquant la virtualisation du processeur AMD, avait mis a mal vista (par Joanna Rutkowska) le titre de PPC était "Vista : pas si invulnérable que ça"

Lorsqu'une faille attaquant les pilotes d'une carte graphique met a mal linux, le titre de PPC est "Faille de securité dans les pilotes de Nvidia"

Kurupt 18/10/2006 09:42

Masquer

Et wii, 2 poids, 2 mesures...

nero62 18/10/2006 09:59

Masquer

Citation :

Je vois mal le rapport entre une rustine et le développement du kernel...
Considères une mise a jour du kernel comme l'équivalent d'une nouvelles version de Windows, pas comme un patch.

Et il fait quoi le patch ?
Il met à jour windows pour corriger les problèmes de sécurité, les failles, les bugs, etc ...

Et pourquoi ils le mettent à jour le kernel ?
Pour corriger les problèmes de sécurité, les failles, les bugs, etc ...

Oh, on dirait ce que fait le patch :whistle:

Ashitaka81 18/10/2006 10:14

Masquer

Les drivers 9x.xx présents depuis quelques temps en version bêta corrigent la faille. Il paraît qu'ils viennent de sortir en version "stable", mais bon moi je ne les vois pas apparaître sur leur site...

Bref, à mort les drivers fermés (même si je suis obligé de les utiliser comme beaucoup de monde pour avoir l'accélération 3D), vive l'open-source et ses temps de réaction face aux problèmes du genre !

Et +1 pour les newseurs qui régulièrement confondent l'origine des problèmes en incrimant des innocents (enfin innocents sur ce point précis)...

Ashitaka81 18/10/2006 10:19

Masquer

Citation :

Je vois mal le rapport entre une rustine et le développement du kernel...
Considères une mise a jour du kernel comme l'équivalent d'une nouvelles version de Windows, pas comme un patch.

Une nouvelle version du noyau n'a pas grand chose à voir avec une nouvelle version de Windows... C'est plutôt un petit incrément d'une seule partie des éléments composant ton système.

Passer de WinXP à Vista, par exemple, c'est plutôt passer d'un noyau 2.4 à 2.6, de Gnome 2.8 à Gnome 2.16, de XFree4.3 à X.org 7.2, GCC 2.95 à GCC 4.2, etc. (quoique tout ça sous-entendrait une réelle progression, je ne prends pas parti, c'est juste un exemple).

C'est d'ailleurs une des choses que j'aime dans Linux, c'est que tout s'incrémente petit à petit, brique par brique, alors qu'avec Windows c'est un gros bloc monolithique qui change tout à la fois.

revlis 18/10/2006 11:22

Masquer

Citation :Et pourquoi ils le mettent à jour le kernel ?
Pour corriger les problèmes de sécurité, les failles, les bugs, etc ...

tu part en cachouettes là... quand on developpe un nouveau module, ce n'est certainement pas pour corriger des bug et des failles sur les anciennes version...

Quand un maçon construit une nouvelle maison, c'est pour boucher les fissures qui se trouve sur l'ancienne ????

revlis 18/10/2006 11:36

Masquer

Citation :Passer de WinXP à Vista, par exemple, c'est plutôt passer d'un noyau 2.4 à 2.6, de Gnome 2.8 à Gnome 2.16, de XFree4.3 à X.org 7.2, GCC 2.95 à GCC 4.2, etc. (quoique tout ça sous-entendrait une réelle progression, je ne prends pas parti, c'est juste un exemple).

C'est d'ailleurs une des choses que j'aime dans Linux, c'est que tout s'incrémente petit à petit, brique par brique, alors qu'avec Windows c'est un gros bloc monolithique qui change tout à la fois.

Non justement, linux tourne sur son noyau monolitique ecrit en 91 et qui depuis 15 ans continue a être patché dans tous les sens...
tu peux pas comparer linux et windows sur ce point car linux est le seul OS a n'avoir JAMAIS re-pensé son noyau..
le noyau 2.6 est une modification (certe complexe) du fonctionnement du 2.4...

ultrabill 18/10/2006 12:08

Masquer

Citation :tu part en cachouettes là... quand on developpe un nouveau module, ce n'est certainement pas pour corriger des bug et des failles sur les anciennes version...

Quand un maçon construit une nouvelle maison, c'est pour boucher les fissures qui se trouve sur l'ancienne ????

Donc les developpeurs passent leur temps à developper de nouveaux modules sans s'occuper des anciens :??:

C'est à se demander comment ils font pour corriger des failles et des bugs sans y toucher ... Linux Powered By David Copperfield [:dawa]

cyrano 18/10/2006 13:04

Masquer

Linux est un ensemble de module (ordonancement, io, network, drivers). Chaque module voit ses bugs corrigé au fur et à mesure (notament pour les drivers) avec souvent les perf qui augmentent.

Parfois, qqun vient avec un module tout neuf (ext4, reseirfs4, antipatory scheduling,...) et paf, c'est intégrer dans une nouvelle version.

Il suffit de voir les retards de vista pour comprendre l'interret des petits pas, et de ne pas tout révolutionner d'un coup.

nero62 18/10/2006 13:19

Masquer

Parce que quand on sort une nouvelle version, on fait quoi à ton avis ?

Certes on améliore la chose, mais on corrige aussi les bugs et problèmes de sécurité

Linux est un des systèmes les plus sécurisés qui existent, mais faut bien qu'ils le mettent à jour pour que ce soit le cas, non ?

cyrano 18/10/2006 14:53

Masquer

Evidement. Ce qui compte c'est la vitesse de réaction, souvent inférieur à qq jours voir à 24h.

nero62 18/10/2006 14:57

Masquer

Citation :Evidement. Ce qui compte c'est la vitesse de réaction, souvent inférieur à qq jours voir à 24h.

Tout à fait d'accord sur ce point

Je ne faisais que répondre à la remarque de loacoon qui ne voulait pas comprendre que c'était le même fonctionnement pour linux que pour windows (même si c'est moins rapide et efficace pour ce dernier) :jap:

cyrano 18/10/2006 15:01

Masquer

Tu comparais aux patchs windows. Les SP rajoutent rarement des fonctionnalité (changement de version de IE, ajout des DRM pour WMP)

nero62 18/10/2006 15:03

Masquer

Les SP rajoutent beaucoup de choses au contraire :
- Le SP1 apportait entre autre le support natif de l'USB2 et de la norme IPv6.
- Le SP2 apportait le sécurity center (quoi qu'on en pense) par exemple.

ultrabill 18/10/2006 16:14

Masquer

Citation :Evidement. Ce qui compte c'est la vitesse de réaction, souvent inférieur à qq jours voir à 24h.

C'est corrigé en 24h ... mais c'est en "production" tous les 3 mois [:spamafote]

.
A moins de s'amuser *quotidiennement* à récuperer les sources et à recompiler le noyau ! Ha ouais, c'est hyper pratique

C'est pas parce que c'est corrigé dans les sources que c'est utilisé par le commun des mortels

ultrabill 18/10/2006 16:15

Masquer

Citation :Tu comparais aux patchs windows. Les SP rajoutent rarement des fonctionnalité (changement de version de IE, ajout des DRM pour WMP)

Sous Windows 2000 peut-être ... M'enfin, sous NT4 ou sous XP va pas dire que les Service Packs n'ont rien apportés :ouch:

Loacoon 18/10/2006 16:21

Masquer

Citation :Les SP rajoutent beaucoup de choses au contraire :
- Le SP1 apportait entre autre le support natif de l'USB2 et de la norme IPv6.
- Le SP2 apportait le sécurity center (quoi qu'on en pense) par exemple.

D'accord pour les SP, pas d'accord pour les rustines.
Pour info Linux a aussi, quand c'est nécéssaire, des mises a jour d'urgence de sécurité. Et oui c'est aussi une rustine, rien a voir avec une nouvelle version ajoutant des fonctionnalités.

Citation :C'est corrigé en 24h ... mais c'est en "production" tous les 3 mois [:spamafote]

.
A moins de s'amuser *quotidiennement* à récuperer les sources et à recompiler le noyau ! Ha ouais, c'est hyper pratique

C'est pas parce que c'est corrigé dans les sources que c'est utilisé par le commun des mortels

Les mises a jour de sécurité sont en général immédiatement ajoutées à la distribution. Si c'est pas le cas, changes de distrib tout de suite.

ultrabill 18/10/2006 16:50

Masquer

Loacoon > "Immédiatement ajoutées" ?? :lol:
Je crois que tu rèves un peu, là

Tiens, voyons le ChangeLog du dernier kernel dispo (2.6.18.1) :
http://www.kernel.org/pub/linux/ke [...] g-2.6.18.1
T'as des tucs qui peuvent tout faire planter, des fonctions recodées et ré-implementées, des nouveautés, des corrections de modules, etc.

Dernière version chez Debian aujourd'hui disponible : 2.6.8
Ha ouais ... 2.6.8 ... Y'a juste 8 révisions de retard [:dawa]

Qu'apporte le 2.6.9 par rapport au 2.6.8 ?? http://www.kernel.org/pub/linux/ke [...] eLog-2.6.9
Rien que ça Alors imagine la difference entre le 2.6.8 et le 2.6.18 :ouch:
Mais bon, tu vas me faire croire qu'en 8 révisions y'a juste des corrections de "petits bugs" et ajout de "petites fonctionnalités" toutes mimis [:marlou:3]

Ha ouais mais c'est vrai, Debian stropoorite

cyrano 18/10/2006 18:46

Masquer

en général, il back porte les corrections de sécurité. D'où le codage 2.6.8.x. Le dernier bug de sécurité kernel remonte au bug de ptrace.

"Loacoon > "Immédiatement ajoutées" ?? :lol:
Je crois que tu rèves un peu, là "

Non bien sur que non. Tous les distribs modernes viennent avec une gestion de paquets supportant internet. Tu peux mettre à jour tous les jours et cela corrige plein de problème détectée depuis la sortie de la distrib (pas forcément de sécurité).

Loacoon 18/10/2006 19:27

Masquer

Citation :

Comme l'a dit Cyrano les correctifs sont ajoutés sur le kernel utilisé par la version stable, vas voir sur le site de Debian, y a des mises a jour de sécurité presque tous les jours. (tous les combien pour Windows??)
Et Debian c'est pas tout pourri, je suis sur la testing pendant que j'écris ces lignes

, donc je sais de quoi je parle niveau Debian

batchy 18/10/2006 19:59

Masquer

Citation :

Dernière version chez Debian aujourd'hui disponible : 2.6.8

raté. c'est la version 2.6.8-16
16 étant la sous-version du paquet debian