L’élévation de privilèges Linux reste l’une des étapes les plus critiques d’une cyberattaque : un attaquant qui obtient un accès local limité cherche presque toujours à devenir root. Les failles récentes du noyau — comme la vulnérabilité « Bad Epoll » qui permet à un utilisateur non privilégié de basculer en root, ou les multiples avis CERT-FR sur les noyaux Ubuntu, Red Hat et SUSE — rappellent que vos serveurs Linux sont exposés dès qu’un compte, un conteneur ou un service applicatif est compromis. Ce tutoriel montre aux PME-ETI comment durcir le noyau Linux et fermer les chemins d’élévation de privilèges les plus courants.
Pourquoi l’élévation de privilèges Linux est un risque majeur
Une faille noyau menant au local root transforme un accès anodin — un shell web, un conteneur mal isolé, une clé SSH volée — en compromission totale de la machine. Une fois root, l’attaquant désactive les protections, installe des rootkits, se déplace latéralement et efface ses traces. Pour une PME-ETI, un seul serveur non corrigé peut suffire à faire tomber tout un parc.
- Surface locale sous-estimée : on protège le périmètre, rarement l’intérieur.
- Fenêtre d’exploitation courte : un PoC public sur une faille noyau est armé en quelques heures.
- Conteneurs partagés : un noyau vulnérable expose tous les conteneurs de l’hôte, pas seulement un.
Corriger le noyau Linux sans casser la production
La première défense contre l’élévation de privilèges Linux reste le patch. Priorisez les avis CERT-FR et les CVE noyau exploitées en conditions réelles.
Appliquer les mises à jour de sécurité
- Ubuntu/Debian : apt-get update && apt-get install –only-upgrade linux-image-$(uname -r) puis planifiez le redémarrage.
- RHEL/Rocky : dnf update kernel et vérifiez le noyau actif avec uname -r après reboot.
- Activez le livepatch (Ubuntu Livepatch, kpatch, KernelCare) pour combler les failles noyau critiques sans redémarrer immédiatement.
Automatiser la veille
Abonnez-vous aux avis CERT-FR et alimentez votre SIEM avec un détecteur de vulnérabilités qui corrèle la version du noyau installé aux CVE publiées. C’est exactement la logique décrite dans notre guide sur la priorisation des CVE à l’ère de l’IA.
Durcir le noyau Linux contre l’élévation de privilèges
Au-delà du patch, réduisez ce qu’un exploit peut faire. Ce durcissement du noyau Linux limite les chemins vers root même face à une faille inconnue.
- Bloquer les user namespaces non privilégiés : sysctl kernel.unprivileged_userns_clone=0 ferme une des voies d’exploitation les plus utilisées.
- Restreindre les modules noyau : kernel.modules_disabled=1 après le boot empêche le chargement de modules malveillants.
- Limiter les accès kernel : kernel.kptr_restrict=2 et kernel.dmesg_restrict=1 masquent les adresses utiles aux exploits.
- Activer un MAC : AppArmor ou SELinux en mode enforcing contient un processus compromis avant qu’il n’atteigne root.
- Monter /tmp, /dev/shm et /home en noexec, nosuid, nodev pour bloquer l’exécution de charges depuis des répertoires inscriptibles.
Détecter une tentative d’élévation de privilèges
Le durcissement ne remplace pas la détection. Surveillez les signaux d’une élévation de privilèges Linux en cours :
- Exécutions setuid inhabituelles et appels à sudo/su hors contexte.
- Chargement de modules noyau ou accès à /proc/kallsyms par des comptes non-root.
- Nouveaux processus root sans parenté légitime — un réflexe partagé avec la détection d’intrusion avant chiffrement.
Un agent EDR ou Wazuh avec les règles de détection d’exploitation locale transforme ces indices en alertes exploitables.
Checklist PME-ETI
- ✅ Noyau à jour, redémarrage planifié ou livepatch actif.
- ✅ sysctl de durcissement appliqués et versionnés.
- ✅ AppArmor/SELinux en enforcing.
- ✅ Montages sensibles en noexec/nosuid.
- ✅ Détection des comportements setuid/module anormaux dans le SIEM.
Réduire la surface d’élévation de privilèges Linux ne demande ni budget colossal ni refonte : quelques sysctl, un cycle de patch discipliné et une détection ciblée suffisent à priver l’attaquant de sa marche vers root. Corrigez d’abord, durcissez ensuite, surveillez toujours.