Cher Google, merci pour le cadeau. 250 000 dollars pour une vulnérabilité Linux qui permet à un utilisateur non privilégié de devenir root sur l'hôte depuis une VM invitée ? C'est soit le prix de l'humilité, soit le tarif d'une claque monumentale sur la réputation de votre infrastructure cloud.
Les deux bugs en question (CVE-2023-xxxxx etc.) permettent une escalade de privilèges totale : depuis un simple utilisateur dans une VM, on peut accéder à l'hôte. Vous savez, le truc qui héberge potentiellement des centaines d'autres VMs, avec leurs données clients, leurs secrets, leur café virtuel. 250K, c'est une broutille comparé au prix d'une fuite massive, mais apparemment c'est ce que vaut un trou béant dans le noyau Linux pour une entreprise qui dort sur 200 milliards de cash.
Un bug dans le noyau, la clé de voûte du cloud
Le problème ? Une gestion de mémoire merdique dans la couche de virtualisation du noyau Linux. Rien de neuf sous le soleil : ça fait des années que les chercheurs en sécurité disent que KVM (Kernel-based Virtual Machine) est un champ de mines. Mais Google, en bon élève, récompense un chercheur anonyme avec une somme qui ferait pâlir un chercheur universitaire. Pendant ce temps, les GAFAM continuent de déployer des patches en catastrophe, en espérant que personne n'exploite la faille avant que les clients ne migrent leurs workloads.
Et qui paie la facture ? Les clients, évidemment. Sous couvert de "sécurité renforcée", les prix des instances Google Cloud vont probablement grimper de 3% ce trimestre. Merci pour la transparence, les gars.
Qui se goinfre, qui se fait rouler
Google : 250K pour un bug critique, c'est 0,0001% de ses revenus annuels. Autant dire une poussière. Mais l'impact médiatique ? Inestimable. "Google récompense la sécurité" – les relations publiques vont adorer. Pendant ce temps, le chercheur qui a trouvé le bug ? Il a probablement dû signer un NDA pour toucher le chèque. Silence radio sur les détails techniques complets. Comme d'habitude.
Les vrais perdants : les administrateurs systèmes qui doivent aligner leurs patches, les PME qui hébergent sur Google Cloud sans équipe sécurité, et les utilisateurs finaux qui continuent d'acheter des services en ligne sans savoir que leur VM peut servir de cheval de Troie. Mais rassurez-vous, le communiqué de presse de Google parle de "proactive security". Traduction : on a été pris la main dans le sac, mais on a un chèque pour faire oublier.
Leçon à retenir : Linux n'est pas magique
Ce n'est pas la première fois qu'un bug dans le noyau permet de s'échapper d'une VM (souvenez-vous de CVE-2022-26373, Venom, etc.). La virtualisation est un empilement de couches d'abstraction, et chaque couche est une opportunité de merde. Si votre fournisseur cloud vous promet un isolement parfait, montrez-lui ce billet. La sécurité, c'est du boulot, pas une case à cocher sur un powerpoint marketing.
Alors, la prochaine fois que vous lirez "notre infrastructure est sécurisée grâce à la virtualisation", rappelez-vous que pour 250 000 dollars, n'importe qui peut potentiellement mettre la main sur l'hôte. Et ce n'est pas le bug le plus cher qu'on ait vu. Juste le plus récent.