Scheduled Sabotage

L'escalade de privilèges Linux via des tâches cron mal configurées est l'un des vecteurs d'attaque les plus courants découverts lors des tests d'intrusion. Cron est le planificateur de tâches basé sur le temps dans les systèmes d'exploitation de type Unix, utilisé pour automatiser les tâches répétitives telles que les sauvegardes, la rotation des logs et la maintenance système. Lorsque les tâches cron sont configurées avec des permissions de fichier inappropriées ou exécutent des scripts modifiables par des utilisateurs non privilégiés, elles deviennent un chemin direct vers l'accès root.

Comment fonctionne l'exploitation des tâches cron

Les tâches cron exécutent des commandes ou des scripts à des intervalles prédéfinis, fonctionnant souvent avec des privilèges root pour effectuer des tâches au niveau du système. La vulnérabilité survient lorsqu'un script exécuté par une tâche cron appartenant à root est accessible en écriture par un utilisateur de moindre privilège. En modifiant le contenu du script, un attaquant peut injecter des commandes arbitraires qui seront exécutées avec les permissions root lors de la prochaine exécution de la tâche cron. C'est un exemple classique de vulnérabilité de type time-of-check to time-of-use (TOCTOU) dans l'administration système.

Techniques d'énumération des tâches cron

Découvrir les tâches cron exploitables nécessite une énumération systématique du système cible. Les professionnels de la sécurité examinent /etc/crontab, les crontabs spécifiques aux utilisateurs dans /var/spool/cron/ et les répertoires cron comme /etc/cron.d/, /etc/cron.daily/ et les chemins similaires. Au-delà de la lecture directe des configurations cron, des outils de surveillance comme pspy peuvent détecter les processus lancés par cron sans nécessiter d'accès root. L'analyse des permissions de fichiers sur les scripts référencés par les entrées cron révèle si une modification est possible.

Pourquoi c'est important pour la sécurité des systèmes

Les erreurs de configuration des tâches cron sont répandues dans les environnements réels car les administrateurs système privilégient souvent la fonctionnalité à la sécurité lors de la mise en place de tâches automatisées. Les scripts de sauvegarde, les routines de maintenance et les outils de surveillance fonctionnent fréquemment avec des privilèges élevés tout en résidant dans des répertoires avec des contrôles d'accès trop permissifs. Comprendre l'escalade de privilèges Linux via les tâches planifiées est essentiel tant pour les professionnels de la sécurité offensive effectuant des tests d'intrusion que pour les équipes défensives renforçant leur infrastructure contre les accès non autorisés.