Looney Tunables (CVE-2023-4911).

Depassement de tampon dans le chargeur dynamique de la glibc, declenche par la variable GLIBC_TUNABLES, qui donne root local sur de nombreuses distributions Linux. Cette notion relève de la catégorie Vulnérabilités en cybersécurité.

Depassement de tampon dans le chargeur dynamique de la glibc, declenche par la variable GLIBC_TUNABLES, qui donne root local sur de nombreuses distributions Linux.

Looney Tunables est une vulnerabilite du chargeur dynamique ld.so de la GNU C Library (glibc) divulguee par Qualys en octobre 2023 sous l'identifiant CVE-2023-4911. Il s'agit d'un depassement de tampon dans l'analyse de la variable d'environnement GLIBC_TUNABLES, introduite dans glibc 2.34. Comme ld.so s'execute avec des privileges eleves lors du lancement de binaires SUID, un attaquant local non privilegie peut forger une valeur GLIBC_TUNABLES malveillante, lancer n'importe quel binaire SUID (comme su) et obtenir root. Sont affectes les installations par defaut de Fedora 37/38, Ubuntu 22.04/23.04 et Debian 12 et 13. La parade est de mettre a jour la glibc.

Les défenses contre Looney Tunables (CVE-2023-4911) combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : CVE-2023-4911, Depassement GLIBC_TUNABLES.