Bloquer le pilote vidéo de test
Le pilote vivid n'existe que pour les tests et a causé des failles d'élévation de privilèges.
Pourquoi il compte
Le pilote vivid crée de faux périphériques vidéo pour tester des logiciels vidéo, et ne sert à rien sur un ordinateur normal. Ses bugs ont par le passé permis des élévations de privilèges. S’il n’est pas chargé, ces bugs sont inutilisables. Comme il ne l’est généralement pas, le gain est faible mais le coût nul.
Comment il fonctionne
Ajoute une configuration modprobe qui empêche le chargement du module vivid. Toute tentative, par un administrateur ou par une attaquante capable de lancer modprobe, échoue.
À qui il s'adresse
Tout le monde, sauf les développeurs qui testent des logiciels de capture ou de caméra avec des périphériques virtuels et ont besoin de vivid.
Ce que vous pouvez remarquer
Rien pour les utilisateurs ordinaires. Un développeur qui tente de charger vivid voit modprobe échouer, et aucune caméra virtuelle de test n’apparaît.
Le vérifier sur votre ordinateur
Voir si les modules sont chargés :
lsmod | grep -E '^(vivid) 'L'appliquer à la main
Dire au système de ne pas les charger, dans un fichier qui vous appartient :
sudo tee /etc/modprobe.d/90-modules-vivid.conf <<'EOF'
install vivid /bin/false
EOFL'annuler
Supprimez le fichier. Les modules déjà chargés restent jusqu'au prochain redémarrage.
Réglages liés
Sources
- Linux Hardening Guide (madaidans)
- 2.5.2