• IT-Karriere:
  • Services:

Kritische Sicherheitslücke im Linux-Kernel 2.6 entdeckt

Root-Zugriff als unberechtigter Benutzer möglich

Ein erneuter sogenannter "Null Pointer Dereference Flaw" in allen Versionen des Linux-Kernels 2.6 erlaubt es einfachen Benutzern, Root-Rechte auf einem Linux-System zu erlangen. Die Sicherheitslücke wurde von Kernel-Entwicklern bereits im aktuellen Release Candidate der neuen Kernel-Version 2.6.32 behoben.

Artikel veröffentlicht am ,

Der Entwickler Brad Spengler, der bereits im Juli eine Sicherheitslücke aufgedeckt hatte, hatte auf den Exploit Mitte Oktober 2009 mit einem Proof-of-Concept-Papier hingewiesen. Er kritisiert nun, die Veröffentlichungspolitik der Kernel-Entwickler sei nicht transparent genug, wenn es um Sicherheitslücken geht. Er findet es verwunderlich, dass die gravierende Sicherheitslücke nicht vom Entwicklerteam entdeckt wurde.

Stellenmarkt
  1. SySS GmbH, Tübingen, Frankfurt am Main, München, Wien (Österreich)
  2. Deloitte, Düsseldorf

Der Fehler tritt auf allen bislang von Brad Spengler getesteten Red-Hat-Systemen auf. Betroffen sind auch der FreeBSD-Kernel und Debian-Systeme samt deren Derivaten. Ein Angreifer muss auf dem betroffenen Rechner lokal als Benutzer angemeldet sein. In den Kernel-Versionen 2.4 und bis 2.6.10 löst die Sicherheitslücke einen "copy_from_user"-Schreibzugriff in den Speicher aus.

Die Sicherheitslücke tritt auf, wenn das Feature "mmap_min_addr" deaktiviert ist. Liegt die Mindestadresse, auf die ein Prozess den Speicher ansprechen kann, bei null, kann der Exploit greifen. Zahlreiche Anwendungen, etwa die Emulatoren Dosemu und Qemu, zahlreiche Entwicklertools oder Wine benötigen aber den Zugriff auf den unteren Speicherbereich. Aus diesem Grund verzichten viele Distributionen darauf, die Option "mmap_min_addr" zu aktivieren. Im Debian-Wiki wird bereits seit Ende Oktober 2009 auf diese Problematik hingewiesen und ein Workaround beschrieben. Dort wird empfohlen, die mmap_min_addr-Einstellungen auf 4096 heraufzusetzen. Dies minimiert zumindest die Gefahr des Auftretens eines "Null Pointer Dereference Flaw". Die Wiki-Seite bietet auch eine Liste aller Applikationen, die von den heraufgesetzten Einstellungen betroffen sind.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)

posix 26. Feb 2013

Nun die Aussage von Linus ist in der Tat unangebracht, Leute zu beschimpfen die es fertig...

posix 26. Feb 2013

Idiotischer gehts kaum noch. +1 Eben, jedem das seine. Bei so einer Aussage ist schon...

LinuXXXer 04. Nov 2009

Da reicht auch ein Win98SE. kaum einer der gängigen Schädlinge dürfte auf Win9X...

RaiseLee 04. Nov 2009

doppelthread ^^ https://forum.golem.de/kommentare/security/kritische-sicherheitsluecke-im...

lightfoot 04. Nov 2009

Achso, und wenn du wissen willst, was dein aktuell laufender Kernel da eingestellt hat...


Folgen Sie uns
       


Datenbasierte Archäologie im DAI

Idai World ist ein System, um archäologische Daten aufzubereiten und online zugänglich zu machen. Benjamin Ducke vom Deutschen Archäologischen Institut stellt es vor.

Datenbasierte Archäologie im DAI Video aufrufen
Concept One ausprobiert: Oneplus lässt die Kameras verschwinden
Concept One ausprobiert
Oneplus lässt die Kameras verschwinden

CES 2020 Oneplus hat sein erstes Konzept-Smartphone vorgestellt. Dessen einziger Zweck es ist, die neue ausblendbare Kamera zu zeigen.
Von Tobias Költzsch

  1. Bluetooth LE Audio Neuer Standard spielt parallel auf mehreren Geräten
  2. Streaming Amazon bringt Fire TV ins Auto
  3. Thinkpad X1 Fold im Hands-off Ein Blick auf Lenovos pfiffiges Falt-Tablet

Computer Vision: Mehr Durchblick beim maschinellen Sehen
Computer Vision
Mehr Durchblick beim maschinellen Sehen

Mit den Services von Amazon, IBM, Microsoft und Google kann jeder recht einfach Bilder analysieren, ohne die genauen Mechanismen dahinter zu kennen. Die Anwendungen unterscheiden sich aber stark - vor allem im Funktionsumfang.
Von Miroslav Stimac

  1. Überwachung Bündnis fordert Verbot von Gesichtserkennung
  2. Videoüberwachung SPD-Chefin gegen Pläne für automatische Gesichtserkennung
  3. China Bürger müssen für Mobilfunkverträge ihre Gesichter scannen

Mr. Robot rezensiert: Domo Arigato, Mr. Robot!
Mr. Robot rezensiert
Domo Arigato, Mr. Robot!

Wie im Achtziger-Klassiker Mr. Roboto von Styx hat auch Elliot in Mr. Robot Geheimnisse. Die Dramaserie um den Hacker ist nicht nur wegen Rami Malek grandios. Sie hat einen ganz eigenen beeindruckenden visuellen Stil und zeigt Hacking, wie es wirklich ist. Wir blicken nach dem Serienfinale zurück.
Eine Rezension von Oliver Nickel und Moritz Tremmel

  1. Openideo-Wettbewerb Die fünf besten Hacker-Symbolbilder sind ausgewählt
  2. Cyberangriffe Attribution ist wie ein Indizienprozess
  3. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken

    •  /