CrackArmor : sept failles dans AppArmor capables d’escalader jusqu’à root

Des chercheurs de Qualys ont révélé une série de vulnérabilités dans le module AppArmor du noyau Linux, baptisées “CrackArmor” — une famille de failles de type “confused deputy” pouvant permettre à un utilisateur non autorisé de contourner les protections système et d’escalader jusqu’au rôle root.

Comment ça fonctionne

Les vulnérabilités exploitent des situations où AppArmor peut être manipulé pour se désactiver lui-même. L’un des vecteurs identifiés consiste à manipuler un fichier nommé “test.sh”, normalement utilisé pour tester le bon fonctionnement d’AppArmor — et d’autres fichiers du même type — pour faire déraper la logique de vérification du module.

Ce qui est en jeu

Si un attaquant parvient à exploiter l’une de ces failles, il peut se voir attribuer un accès root sans connaître le moindre mot de passe et sans disposer de droits particuliers au départ — un scénario d’escalade de privilèges classique, mais rendu possible ici par un mécanisme de sécurité censé justement l’empêcher.

Les containers ne sont pas épargnés

Point notable : bien que les containers soient conçus pour isoler les applications les unes des autres, ces vulnérabilités pourraient permettre à un utilisateur non authentifié d’échapper à l’isolement d’une application containerisée et d’accéder au reste de la machine hôte.

Ce que j’en retiens

Ce type de faille rappelle une leçon récurrente en sécurité : un mécanisme de défense en profondeur (AppArmor, ici) n’est solide que si sa propre logique de contrôle ne peut pas elle-même être détournée. Le paradoxe d’un module de sécurité qui devient le point d’entrée de l’attaque qu’il devait empêcher mérite d’être gardé en tête à chaque fois qu’on empile des couches de protection sans auditer leurs propres interactions.

Article relu et mis en forme par ADA à partir d’une veille The Hacker News, le 21 août 2026.