• IT-Karriere:
  • Services:

Erneut lokale Sicherheitslücke in Linux

Pufferüberlauf im ISO9660-Dateisystem erlaubt

Der Sicherheitsspezialist iDefense weist auf eine neue Sicherheitslücke im Linux-Kernel hin, mit der lokale Nutzer ihre Rechte ausweiten können. Der Fehler liegt im 'isofs-Modul' des Linux-Kernels, das für das von CDs verwendete ISO-9660-Dateisystem verantwortlich ist.

Artikel veröffentlicht am ,

Der Linux-Kernel prüft die Länge von symbolischen Links auf ISO9660-Dateisystemen nicht, was es erlaubt, mit speziell präparierten CDs einen Pufferüberlauf im Kernel zu provozieren. Die meisten Distributionen erlauben es lokalen Nutzern, CDs zu mounten, was sie prinzipiell verwundbar macht.

Stellenmarkt
  1. Nagel-Group | Kraftverkehr Nagel SE & Co. KG, Berlin, Frankfurt am Main, München, Hamburg
  2. Die Autobahn GmbH des Bundes, Hamm, Münster, Gelsenkirchen

IDefense hat einen Beispiel-Code entwickelt, mit dem sich der Fehler ausnutzen lässt, wodurch lokale Nutzer Root-Rechte erlangen. Zudem sei es möglich, Code mit den Privilegien des Kernels auszuführen.

Die Sicherheitslücke lässt sich nur ausnutzen, wenn ein Anwender mit lokalem Zugang entsprechende CDs oder, sofern verschlüsselte Dateisysteme unterstützt werden, ein Angreifer ein solches Dateisystem mounten kann. Zudem können Nutzer mit Root-Rechten die für Root geltenden Einschränkungen umgehen und Code auf Kernel-Ebene ausführen.

Betroffen sind Linux 2.4 und 2.6; auch andere Kernel-Implementierungen könnten verwundbar sein. Als Workaround empfiehlt es sich, Nutzern nicht die Möglichkeit zu geben, Wechselmedien zu mounten. Einen offiziellen Kernel, in dem das Problem gelöst ist, gibt es derzeit nicht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 5,99€
  2. 8,75€
  3. 34,49€
  4. 4,25

drolf 15. Apr 2004

die gepatchten SuSE-Kernels kann man seit gestern runterladen... bye Dr. Rolf

Kolle 15. Apr 2004

Admins von Servern die wirklich hieb und stichfest sein muessen werden die änderung...

abcde 15. Apr 2004

Das haben die sich von M$ abgeschaut. :-) Hoffentlich wird das nicht zur Gewohnheit...

Blindside 15. Apr 2004

Ok, so schnell scheints auch nicht gewesen zu sein - soll wohl schon am 20.Feb gefunden...

Firestorm 15. Apr 2004

oh, compiler error. if muss natürlich aus den Klammern raus *gg*


Folgen Sie uns
       


Gocycle GX - Test

Das Gocycle GX hat einen recht speziellen Pedelec-Sound, aber dafür viele Vorteile.

Gocycle GX - Test Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /