Libuser : des failles locales menacent l’intégrité des comptes Linux
Des failles de validation dans la librairie libuser permettent à un utilisateur déjà présent sur le système de provoquer des dysfonctionnements graves. Ubuntu Security a récemment alerté sur les CVE-2015-3245 et CVE-2015-3246, qui exploitent une incapacité de la librairie à valider correctement les champs GECOS lors de la modification des informations utilisateur.
L’impact est sérieux, car il touche directement au fichier /etc/passwd, le registre fondamental des comptes utilisateurs. Pour la première faille (CVE-2015-3245), un attaquant local peut corrompre ce fichier, entraînant un déni de service. Plus préoccupante, la seconde vulnérabilité (CVE-2015-3246) permet à l’attaquant de créer un état incohérent du fichier au moment de la modification, ce qui peut mener, dans certains scénarios, à une escalade de privilèges.
Difficile de ne pas s’interroger sur la pérennité de ce genre de failles dans des composants aussi basiques, mais le danger réside dans le fait que l’accès requis est uniquement local. On parle donc d’un attaquant qui doit déjà avoir une certaine présence sur la machine, ce qui réduit le périmètre par rapport à une attaque distante, mais cela ne diminue pas la gravité du dommage potentiel.
Ce qui est touché et la gravité réelle
Les versions antérieures à 0.56.13-8 sont concernées, selon l’annonce d’Ubuntu Security. Ce qui est touché, ce sont les processus qui utilisent la fonction chfn de cette librairie pour gérer les données des utilisateurs. D’après les données techniques, il est précisé que cette vulnérabilité pourrait être combinée avec l’autre faille pour obtenir des privilèges. Des rapports plus anciens, notamment ceux de Red Hat datant de 2015, confirment l’existence de ces problèmes, mentionnant des risques de déni de service et de privilèges pour les utilisateurs authentifiés localement.
Bien que les CVE originales aient été publiées il y a de longues années, la récente alerte de Ubuntu Security rappelle que ces failles persistent sans application des correctifs. Les advisories techniques indiquent que le risque peut monter jusqu’à un niveau « HIGH » (CVSS 7,4) pour l’escalade de privilèges, même si certaines notations initiales étaient plus faibles.
Qui doit agir et comment
La marche à suivre est claire, mais elle exige une réaction rapide des administrateurs systèmes. Ubuntu Security indique que la correction passe par la mise à jour du système vers les versions de paquets spécifiées. C’est la réponse directe et la plus efficace face à ce type de faille en matière de sécurité des systèmes d’exploitation.
Pour les gestionnaires de parc, cela signifie une vérification immédiate de l’état des mises à jour de tous les serveurs critiques fonctionnant sous Ubuntu. Les systèmes utilisant des composants similaires, même sous d’autres distributions, méritent une attention particulière. Ce genre de faille, où le correctif est une simple mise à jour de paquet, rappelle que la maintenance proactive est la première ligne de défense contre les incidents.
Surveiller l’implémentation des correctifs est essentiel, surtout si des systèmes anciens ou isolés ne bénéficient pas des mises à jour automatiques. Un simple oubli de synchronisation des paquets peut transformer un risque latent en une porte d’entrée active pour un acteur malveillant présent sur le réseau interne.
Il faut désormais vérifier non seulement la présence des versions corrigées, mais aussi s’assurer que les processus qui manipulent les données utilisateur sont bien ceux qui ont été patchés, car la complexité des systèmes modernes rend souvent le suivi précis des dépendances difficile.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2015-3245 | — | Faible | Non signalée | Voir l’avis de l’éditeur |
| CVE-2015-3246 | Red Hat Libuser | Élevée (CVSS 7,4) | Oui (KEV, 26 août 2026) | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- USN-8987-1: libuser vulnerabilities, Ubuntu Security, 3 novembre 2026
- Avis de sécurité (rhn.redhat.com), rhn.redhat.com, 11 août 2015
- GHSA-q4h8-6f3r-mvww : Incomplete blacklist vulnerability in the chfn function in libuser before 0.56.13-8 and…, GitHub Advisory Database (CC BY 4.0)
- CVE-2015-3245, NVD (NIST)
- GHSA-f52h-j689-x786 : libuser before 0.56.13-8 and 0.60 before 0.60-7, as used in the userhelper program in…, GitHub Advisory Database (CC BY 4.0)
- CVE-2015-3246, NVD (NIST)
- CVE-2015-3246 dans le catalogue KEV, CISA
