FreeBSD: Neue Versionen mit Sicherheitspatches

Fehler in den FreeBSD-Versionen 6.3, 6.4, 7.1 und 7.2

Neu entdeckte Designfehler im Dateisystemmodul und den kürzlich bekanntgewordenen Fehler im Linux-Kernel beheben FreeBSD-Entwickler in neuen Versionen für FreeBSD 6.x und 7.x. Die Patches liegen als Updates und im Quelltext vor.

Artikel veröffentlicht am ,

Für einen im Linux-Kernel entdeckten Fehler, der auch FreeBSD betrifft, haben FreeBSD-Entwickler nun eine Lösung gefunden, indem sie Anwendungen den Zugriff auf die neuralgische Adresse 0 verbieten. Nach Einspielen eines Updates erscheint die sysctl-Variable security.bsd.map_at_zero, die dann noch manuell auf "0" gesetzt werden muss.

Stellenmarkt
  1. Softwareentwickler (m/w/d) Innovatives Printmanagement
    Württembergische Gemeinde-Versicherung a.G., Stuttgart
  2. IT-Administrator - Schwerpunkt IT-Security & Kommunikationsdienste (m/w/d)
    Barmherzige Brüder Trier gGmbH, Paderborn, Koblenz, Trier, Bad Mergentheim, Mannheim
Detailsuche

In künftigen Versionen, die den Patch bereits enthalten, wird die Variable auch standardmäßig korrekt gesetzt sein. Entwickler warnen jedoch vor möglichen Problemen mit Anwendungen, die speziell auf Address-0-Mapping angewiesen sind, und raten zu ausführlichen Tests. Betroffen sein könnten vor allem virtuelle Maschinen, Emulatoren oder ältere Binärdateien im a.out-Format.

In der Kommunikation zwischen dem Gerätesystem Devfs und dem virtuellen Dateisystem VFS des Kernels können auf Grund eines Fehlers zwei Threads den gleichen kritischen Bereich belegen. Wird dieser sogenannte Race-Condition ausgenutzt, erlangt ein Angreifer unter Umständen Root-Privilegien oder es kann zu Datenverlust oder einem Crash kommen.

Nur in den Versionen 6.3 und 6.4 taucht ein Race-Condition im Zusammenhang mit dem Pipe-close()-Aufruf im Kqueue-API des Kernels auf, mit dem Anwendungen auf die Kernel-Services zugreifen. Auch hier kann es unter Umständen zu einem Kernel-Crash mit Datenverlust kommen. Diese Sicherheitslücke kann allerdings nur von Angreifern ausgenutzt werden, die Code lokal ausführen dürfen. [von Jörg Thoma]

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


IrgendEinAnderer 05. Okt 2009

Dieses ideologische Problem ist mir durchaus bewußt. Das ursprüngliche Posting zielte...

Deppert 05. Okt 2009

ja lustig .. hab ich mir vertippt .. Asche über mein Haupt und so. Is natürlich BSD und...

Siga9876 05. Okt 2009

Bei BSD kann man strlen(NULL) machen und kriegt 0 zurück. Bei SysV kriegt man eine fette...



Aktuell auf der Startseite von Golem.de
Smartwatch
Öffnen der Apple Watch Ultra trotz Schrauben riskant

Die Apple Watch Ultra verfügt über vier Schrauben auf der Unterseite. Nutzer sollten sie nicht lösen, um die Uhr nicht zu zerstören.

Smartwatch: Öffnen der Apple Watch Ultra trotz Schrauben riskant
Artikel
  1. Softwareentwicklung: Erste Schritte mit dem modernen Framework Flutter
    Softwareentwicklung
    Erste Schritte mit dem modernen Framework Flutter

    Flutter ist ein tolles und einfach zu erlernendes Framework, vor allem für die Entwicklung mobiler Apps. Eine Anleitung für ein erstes kleines Projekt.
    Eine Anleitung von Pascal Friedrich

  2. Gegen Amazon und Co.: Frankreich führt Mindestgebühren für Buchbestellungen ein
    Gegen Amazon und Co.
    Frankreich führt Mindestgebühren für Buchbestellungen ein

    Mit einer Mindestliefergebühr will Frankreich kleinere Geschäfte vor großen Onlinehändlern wie Amazon schützen.

  3. Gen.Travel: Volkswagen zeigt autonomes Elektroauto mit Betten
    Gen.Travel
    Volkswagen zeigt autonomes Elektroauto mit Betten

    VW hat eine Autostudie vorgestellt, in der niemand mehr fahren muss. Stattdessen kann gearbeitet, geschlafen oder gefreizeitet werden.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • CyberWeek: Bis -53% auf Gaming-Zubehör und bis -45% auf PC-Audio • Crucial 16-GB-Kit DDR5-4800 69,99€ • Crucial P2 1 TB 67,90€ • ViewSonic VX2719-PC FHD/240 Hz 179,90€ • MindStar (u. a. MSI MAG Z690 Tomahawk 219€ + $20 Steam) • Logitech G Pro Gaming Keyboard 77,90€ [Werbung]
    •  /