M-binary
Une vulnérabilité majeure a récemment été révélée, affectant directement la sécurité des systèmes Linux, notamment Ubuntu et Fedora. Cette faille permettrait à un attaquant disposant d’un accès physique, même limité, de contourner le chiffrement du disque et d’obtenir un contrôle total du système, en exploitant l’environnement initramfs lors du démarrage.
Le talon d’Achille : initramfs
Lorsqu’un système Linux démarre, il charge une image appelée initramfs (initial RAM filesystem), un mini-environnement temporaire contenant les scripts nécessaires à l’amorçage, y compris ceux qui gèrent la demande de mot de passe pour le déchiffrement du disque (LUKS, par exemple).
Le problème, c’est que cette image n’est ni protégée par mot de passe, ni signée de manière contraignante dans les configurations par défaut de certaines distributions. Un attaquant peut alors, via GRUB ou un accès au BIOS, modifier les arguments de démarrage pour lancer un shell root dans l’initramfs — avant même que le chiffrement du disque ne soit appliqué.
Un scénario d’attaque réaliste
Concrètement, un utilisateur malveillant peut :
Redémarrer la machine,
Modifier les paramètres de démarrage via GRUB,
Obtenir un shell root dans initramfs,
Injecter des scripts malveillants dans le processus de démarrage,
Installer un keylogger pour capturer la phrase de passe LUKS au prochain boot,
Ou encore extraire le contenu non chiffré de la mémoire vive.
Cette attaque de type Evil Maid (attaquant ayant un accès furtif à la machine) est redoutable dans les environnements professionnels ou les lieux partagés, où les ordinateurs peuvent être laissés sans surveillance.
Pourquoi Ubuntu et Fedora sont vulnérables
Par défaut, Ubuntu (22.04 LTS notamment) et Fedora (ainsi que Fedora Silverblue) ne chiffrent pas le dossier /boot. Cela signifie que l’image initramfs et le noyau Linux peuvent être manipulés sans nécessiter d’authentification, ouvrant ainsi la voie à cette attaque.
Les distributions ne configurent pas non plus un mot de passe GRUB ni de vérification d’intégrité automatique à ce stade critique du boot.
Comment se protéger efficacement
Voici les recommandations pour les utilisateurs soucieux de la sécurité :
Activer un mot de passe GRUB pour empêcher la modification des paramètres de démarrage.
Utiliser Secure Boot avec des clés personnalisées pour s’assurer que seules les images autorisées se chargent.
Chiffrer /boot ou utiliser une image de noyau unifiée et signée (UKI).
Vérifier régulièrement l’intégrité du système d’amorçage (initrd, vmlinuz, grub.cfg).
Déployer des solutions comme Anti Evil Maid, qui permettent de détecter toute modification non autorisée de l’environnement d’amorçage.
Cette faille rappelle que le chiffrement de disque, aussi robuste soit-il, ne suffit pas si l’amorçage lui-même n’est pas sécurisé. Les utilisateurs avancés, sysadmins et professionnels de la cybersécurité doivent porter une attention particulière à la configuration de GRUB, à l’intégrité de l’initramfs et à la chaîne de confiance au démarrage.
Dans un monde où l’accès physique peut être exploité en quelques secondes, la protection du boot est aussi critique que le chiffrement du système lui-même.