Linux-Kernel Gefährliche Sicherheitslücke bleibt ein Jahr unentdeckt

Eine Schwachstelle im Netzwerkstack des Linux-Kernels blieb den Entwicklern mehr als ein Jahr verborgen. Hackern war sie jedoch bereits seit Mitte 2012 bekannt. Ein Exploit ist seitdem im Umlauf.

Anzeige

Kernel-Entwickler Matthias Krause hat einen Patch eingereicht, der eine gefährliche Sicherheitslücke im Linux-Kernel schließt. Der Fehler ist in allen Linux-Versionen seit Kernel 3.3 enthalten, der Mitte Januar 2012 erschienen ist. Es gibt Hinweise darauf, dass Hackern der Exploit mindestens seit Mitte 2012 bekannt ist.

Die Sicherheitslücke ist im Netzwerkstack und ermöglicht einen Angriff eines normalen Benutzers, der sich Root-Rechte verschaffen kann. Der Fehler ist im Code der Datei net/core/sock_diag.c . Damit werden Informationen zwischen Prozessen in der Benutzerumgebung und dem Linux-Kernel ausgetauscht. Angreifer können ein speziell präpariertes Netzwerkpaket senden, das einen out-of-bound access auslöst und einen Zugriff mit einfachen Benutzerrechten auf den Kernel erlaubt.

Der fehlerhafte Code wurde im Januar 2012 in Linux 3.3 übernommen und blieb seitdem von den Kernel-Entwicklern unentdeckt. Der russische Sicherheitsexperte Alexander Peslyak stöberte auf Pastebin ein Tar-Archiv auf, dessen Inhalt auf die Sicherheitslücke hinweist. Zwei der darin enthaltenen Dateien tragen einen Zeitstempel, der auf Mitte Juli 2012 datiert ist. Der in dem Archiv enthaltene Code erstellt eine 1 GByte große Datei im Arbeitsspeicher eines angegriffenen Rechners. Außerdem gibt es dort eine Beispieldatei, die Code im Speicher ausführt.

Inzwischen ist die Schwachstelle unter der CVE-Nummer 2013-1763 eingetragen. Bislang hat nur Fedora 18 einen aktualisierten Linux-Kernel erhalten. Für Ubuntu 12.10 ist ein Patch bereits in Arbeit. Andere Distributionen dürften bei der Gefährlichkeit der Sicherheitslücke ebenfalls bald Aktualisierungen bereitstellen. Red Hat und Suse Linux Enterprise Server 11 nutzen ältere Kernel-Versionen und sind von der Schwachstelle nicht betroffen.

Nachtrag vom 26. Februar 2013, 9:37 Uhr

Inzwischen gibt es auch einen gepatchen Kernel für Ubuntu 12.10.

Nachtrag vom 26. Februar 2013, 14:19 Uhr

Im Linux-Kernel 3.8-2 in ArchLinux gibt es ebenfalls einen Fix.


Thaodan 27. Feb 2013

Wie beim Linux Kernel auch.

katzenpisse 27. Feb 2013

Falsch, wenn Hinz&Kunz mal wieder zwielichtige Dateianhänge ausführen und sich dann ein...

nicoledos 27. Feb 2013

+1

Anonymer Nutzer 26. Feb 2013

stimmt wirklich . . . deswegen ist java sicherer - weil diese Tools kamen vom ibm-domino...

Endwickler 26. Feb 2013

Einfach mal abwarten, immerhin "bleibt" der Fehler noch ein Jahr unentdeckt. Da kommt in...

Kommentieren



Anzeige

  1. Web-Entwickler (m/w)
    NEXUS Netsoft, Langenfeld
  2. Business Intelligence / Data Warehouse Engineer (m/w)
    Loyalty Partner GmbH, München
  3. Projektleiter (m/w) Java
    USU AG, Bonn (Home-Office möglich)
  4. Release- und Projekt-Manager mobile - international (m/w)
    PAYBACK GmbH, München

 

Detailsuche


Folgen Sie uns
       


  1. Bärbel Höhn

    Smartphone-Hersteller zu Diebstahl-Sperre zwingen

  2. Taxi-App

    Uber will trotz Verbot in weitere deutsche Städte

  3. First-Person-Walker

    Wie viel Gameplay braucht ein Spiel?

  4. Finanzierungsrunde

    Startup Airbnb ist zehn Milliarden US-Dollar wert

  5. Spähaffäre

    Snowden erklärt seine Frage an Putin

  6. CSA-Verträge

    Microsoft senkt Preise für Support von Windows XP

  7. Test Wyse Cloud Connect

    Dells mobiles Büro

  8. Globalfoundries-Kooperation mit Samsung

    AMDs Konsolengeschäft kompensiert schwache CPU-Sparte

  9. Verband

    "Uber-Verbot ruiniert Ruf der Startup-Stadt Berlin"

  10. Kabel Deutschland

    2.000 Haushalte zwei Tage von Kabelschaden betroffen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Scaler: Xbox, streck das Bild!
Scaler
Xbox, streck das Bild!

Die Xbox One berechnet viele Spiele nicht nativ in 1080p. Stattdessen vergrößern ein Hardware-Scaler oder einige Softwareschritte niedrigere Auflösungen. Beide Lösungen bieten Vor- und Nachteile, welche die Bildqualität oder Bildrate beeinflussen.

  1. Xbox One Upgedated und preisgesenkt
  2. Xbox One Microsoft denkt über Xbox-360-Emulation nach
  3. Xbox One Inoffizielle PC-Treiber für Controller erhältlich

Facebook und Oculus Rift: Vier Prognosen zu Faceboculus
Facebook und Oculus Rift
Vier Prognosen zu Faceboculus

Der erste Shitstorm hat sich gelegt. Und Oculus gehört immer noch Facebook. Was ändert das jetzt? Und was bedeutet das für die Zukunft? Wer sich mit Entwicklern und Experten unterhält, der kann einige erste Schlüsse ziehen.

  1. Oculus Rift 25.000 Exemplare der neuen Dev-Kit-Version verkauft
  2. Developer Center Sicherheitslücke bei Oculus VR
  3. Oculus VR "Wir haben nicht so viele Morddrohungen erwartet"

Windows XP ade: Linux ist nicht nur ein Lückenfüller
Windows XP ade
Linux ist nicht nur ein Lückenfüller

Wenn der Support für Windows XP ausläuft, wird es dringend Zeit, nach einer sicheren und vor allem kostenlosen Alternative zu suchen. Linux ist dafür bestens geeignet. Bleibt nur noch die Qual der Wahl.

  1. Open Source Linux 3.15 startet in die Testphase
  2. Linux-Kernel LTO-Patch entfacht Diskussion
  3. Linux-Distribution Opensuse baut um und verschiebt Version 13.2

    •  / 
    Zum Artikel