the-z-labs/linux-exploit-suggesterAudite l'exposition du noyau Linux aux exploits d'élévation de privilèges et vérifie les mesures de sécurité de durcissement du noyau à l'aide d'une analyse heuristique et de vérifications de configuration/sysctl.
Téléchargement rapide :
wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O les.sh
Détails sur l'utilisation et le fonctionnement interne de LES :
https://blog.z-labs.eu/2019/05/10/les-paper.html
Ressources supplémentaires pour LES :
https://github.com/mzet-/les-res
| Nom | CVE | dans LES | Vérifié sur | Référence |
|---|---|---|---|---|
| CopyFail | CVE-2026-31431 | Pas encore | - | https://copy.fail/ |
| DirtyFrag | CVE-2026-43284 | Pas encore | - | https://www.openwall.com/lists/oss-security/2026/05/07/8 |
| DirtyAH6 | Pas encore | - | https://heyitsas.im/posts/lpe-quartet/ | |
| PPPoEject | Pas encore | - | https://heyitsas.im/posts/lpe-quartet/ | |
| TUNderflow | Pas encore | - | https://heyitsas.im/posts/lpe-quartet/ | |
| DiagSpill | Pas encore | - | https://heyitsas.im/posts/lpe-quartet/ | |
| OVSwrap | Pas encore | - | https://heyitsas.im/posts/ovswrap/ | |
| CIFSwith | Pas encore | - | https://heyitsas.im/posts/cifswitch/ | |
| RefluXFS | Pas encore | - | URL | |
| vsockpwn | CVE-2025-21756 | Pas encore | - | https://hoefler.dev/articles/vsock.html |
| CrackArmor | multiple | Pas encore | - | URL |
| needrestart | multiple | Pas encore | - | https://www.qualys.com/2024/11/19/needrestart/needrestart.txt |
| StackRot | CVE-2023-3269 | Pas encore | - | https://www.openwall.com/lists/oss-security/2023/07/28/1 |
L'outil LES est conçu pour aider à détecter les failles de sécurité d'un noyau Linux ou d'une machine Linux donnée. Il offre les fonctionnalités suivantes :
L'outil évalue (à l'aide de méthodes heuristiques détaillées ici) l'exposition du système Linux donné aux exploits d'élévation de privilèges Linux publiquement connus. Exemple de sortie de l'outil :
$ ./linux-exploit-suggester.sh
...
[+] [CVE-2017-16995] eBPF_verifier
Details: https://ricklarabee.blogspot.com/2018/07/ebpf-and-analysis-of-get-rekt-linux.html
Exposure: highly probable
Tags: debian=9.0{kernel:4.9.0-3-amd64},fedora=25|26|27,[ ubuntu=14.04 ]{kernel:4.4.0-89-generic},ubuntu=(16.04|17.04){kernel:4.(8|10).0-(19|28|45)-generic}
Download URL: https://www.exploit-db.com/download/45010
Comments: CONFIG_BPF_SYSCALL needs to be set && kernel.unprivileged_bpf_disabled != 1
[+] [CVE-2017-1000112] NETIF_F_UFO
Details: http://www.openwall.com/lists/oss-security/2017/08/13/1
Exposure: probable
Tags: [ ubuntu=14.04{kernel:4.4.0-*} ],ubuntu=16.04{kernel:4.8.0-*}
Download URL: https://raw.githubusercontent.com/xairy/kernel-exploits/master/CVE-2017-1000112/poc.c
ext-url: https://raw.githubusercontent.com/bcoles/kernel-exploits/cve-2017-1000112/CVE-2017-1000112/poc.c
Comments: CAP_NET_ADMIN cap or CONFIG_USER_NS=y needed. SMEP/KASLR bypass included. Modified version at 'ext-url' adds support for additional distros/kernels
[+] [CVE-2016-8655] chocobo_root
Details: http://www.openwall.com/lists/oss-security/2016/12/06/1
Exposure: probable
Tags: [ ubuntu=(14.04|16.04){kernel:4.4.0-(21|22|24|28|31|34|36|38|42|43|45|47|51)-generic} ]
Download URL: https://www.exploit-db.com/download/40871
Comments: CAP_NET_RAW capability is needed OR CONFIG_USER_NS=y needs to be enabled
...
Pour chaque exploit, l'exposition est calculée. Les états d'« Exposition » suivants sont possibles :
Hautement probable - le noyau évalué est très probablement affecté et il y a de très bonnes chances que l'exploit PoC fonctionne directement sans aucune modification majeure.
Probable - il est possible que l'exploit fonctionne, mais une personnalisation de l'exploit PoC sera très probablement nécessaire pour s'adapter à votre cible.
Moins probable - une analyse manuelle supplémentaire est nécessaire pour vérifier si le noyau est affecté.
Improbable - il est très peu probable que le noyau soit affecté (l'exploit n'est pas affiché dans la sortie de l'outil)
LES peut vérifier la plupart des paramètres de sécurité disponibles pour votre noyau Linux. Il vérifie non seulement les configurations de compilation du noyau (CONFIGs) mais aussi les paramètres d'exécution (sysctl), donnant une image plus complète de la posture de sécurité d'un noyau en cours d'exécution. Cette fonctionnalité se veut une continuation moderne de l'option --kernel de l'outil checksec.sh de Tobias Klein. Exemple de sortie de l'outil :
$ ./linux-exploit-suggester.sh --checksec
Mainline kernel protection mechanisms:
[ Disabled ] GCC stack protector support (CONFIG_HAVE_STACKPROTECTOR)
https://github.com/mzet-/les-res/blob/master/features/stackprotector-regular.md
[ Disabled ] GCC stack protector STRONG support (CONFIG_STACKPROTECTOR_STRONG)
https://github.com/mzet-/les-res/blob/master/features/stackprotector-strong.md
[ Enabled ] Low address space to protect from user allocation (CONFIG_DEFAULT_MMAP_MIN_ADDR)
https://github.com/mzet-/les-res/blob/master/features/mmap_min_addr.md
[ Disabled ] Restrict unprivileged access to kernel syslog (CONFIG_SECURITY_DMESG_RESTRICT)
https://github.com/mzet-/les-res/blob/master/features/dmesg_restrict.md
[ Enabled ] Randomize the address of the kernel image (KASLR) (CONFIG_RANDOMIZE_BASE)
https://github.com/mzet-/les-res/blob/master/features/kaslr.md
[ Disabled ] Hardened user copy support (CONFIG_HARDENED_USERCOPY)
https://github.com/mzet-/les-res/blob/master/features/hardened_usercopy.md
...
Évaluer l'exposition de la machine Linux aux exploits publiquement connus :
$ ./linux-exploit-suggester.sh
Afficher l'état des fonctionnalités de sécurité sur la machine Linux :
$ ./linux-exploit-suggester.sh --checksec
Évaluer l'exposition du noyau Linux aux exploits publiquement connus sur la base de la chaîne 'uname' fournie (c'est-à-dire la sortie de la commande uname -a) :
$ ./linux-exploit-suggester.sh --uname <uname-string>
Pour plus d'exemples d'utilisation, voir ici.
Vous savez maintenant, espérons-le, ce qu'est LES et ce qu'il peut faire pour vous. Voyez maintenant ce que vous pouvez faire pour LES :