Abo
  • Services:

Kritische Sicherheitslücke im Linux-Kernel 2.6 entdeckt

Root-Zugriff als unberechtigter Benutzer möglich

Ein erneuter sogenannter "Null Pointer Dereference Flaw" in allen Versionen des Linux-Kernels 2.6 erlaubt es einfachen Benutzern, Root-Rechte auf einem Linux-System zu erlangen. Die Sicherheitslücke wurde von Kernel-Entwicklern bereits im aktuellen Release Candidate der neuen Kernel-Version 2.6.32 behoben.

Artikel veröffentlicht am ,

Der Entwickler Brad Spengler, der bereits im Juli eine Sicherheitslücke aufgedeckt hatte, hatte auf den Exploit Mitte Oktober 2009 mit einem Proof-of-Concept-Papier hingewiesen. Er kritisiert nun, die Veröffentlichungspolitik der Kernel-Entwickler sei nicht transparent genug, wenn es um Sicherheitslücken geht. Er findet es verwunderlich, dass die gravierende Sicherheitslücke nicht vom Entwicklerteam entdeckt wurde.

Stellenmarkt
  1. Autobahn Tank & Rast GmbH, Bonn
  2. Deutsche Welle, Bonn

Der Fehler tritt auf allen bislang von Brad Spengler getesteten Red-Hat-Systemen auf. Betroffen sind auch der FreeBSD-Kernel und Debian-Systeme samt deren Derivaten. Ein Angreifer muss auf dem betroffenen Rechner lokal als Benutzer angemeldet sein. In den Kernel-Versionen 2.4 und bis 2.6.10 löst die Sicherheitslücke einen "copy_from_user"-Schreibzugriff in den Speicher aus.

Die Sicherheitslücke tritt auf, wenn das Feature "mmap_min_addr" deaktiviert ist. Liegt die Mindestadresse, auf die ein Prozess den Speicher ansprechen kann, bei null, kann der Exploit greifen. Zahlreiche Anwendungen, etwa die Emulatoren Dosemu und Qemu, zahlreiche Entwicklertools oder Wine benötigen aber den Zugriff auf den unteren Speicherbereich. Aus diesem Grund verzichten viele Distributionen darauf, die Option "mmap_min_addr" zu aktivieren. Im Debian-Wiki wird bereits seit Ende Oktober 2009 auf diese Problematik hingewiesen und ein Workaround beschrieben. Dort wird empfohlen, die mmap_min_addr-Einstellungen auf 4096 heraufzusetzen. Dies minimiert zumindest die Gefahr des Auftretens eines "Null Pointer Dereference Flaw". Die Wiki-Seite bietet auch eine Liste aller Applikationen, die von den heraufgesetzten Einstellungen betroffen sind.



Anzeige
Spiele-Angebote
  1. 32,49€
  2. 4,99€
  3. (-83%) 3,33€

posix 26. Feb 2013

Nun die Aussage von Linus ist in der Tat unangebracht, Leute zu beschimpfen die es fertig...

posix 26. Feb 2013

Idiotischer gehts kaum noch. +1 Eben, jedem das seine. Bei so einer Aussage ist schon...

LinuXXXer 04. Nov 2009

Da reicht auch ein Win98SE. kaum einer der gängigen Schädlinge dürfte auf Win9X...

RaiseLee 04. Nov 2009

doppelthread ^^ https://forum.golem.de/kommentare/security/kritische-sicherheitsluecke-im...

lightfoot 04. Nov 2009

Achso, und wenn du wissen willst, was dein aktuell laufender Kernel da eingestellt hat...


Folgen Sie uns
       


Sony Xperia L3 - Hands on (MWC 2019)

Sony hat das Xperia L3 auf dem MWC 2019 in Barcelona vorgestellt. Das Einsteiger-Smartphone mit Dual-Kamera steckt in einem schmalen 2:1-Gehäuse. Es hat den Fingerabdrucksensor wieder auf der rechten Seite. Das Smartphone erscheint Anfang März 2019 zum Preis von 200 Euro.

Sony Xperia L3 - Hands on (MWC 2019) Video aufrufen
Sailfish X im Test: Die Android-Alternative mit ein bisschen Android
Sailfish X im Test
Die Android-Alternative mit ein bisschen Android

Seit kurzem ist Sailfish OS mit Android-Unterstützung für weitere Xperia-Smartphones von Sony verfügbar. Fünf Jahre nach unserem letzten Test wird es Zeit, dass wir uns das alternative Mobile-Betriebssystem wieder einmal anschauen und testen, wie es auf einem ursprünglichen Android-Gerät läuft.
Ein Test von Tobias Költzsch


    Flugzeugabsturz: Boeing 737 MAX geht wegen Softwarefehler außer Betrieb
    Flugzeugabsturz
    Boeing 737 MAX geht wegen Softwarefehler außer Betrieb

    Wegen eines bekannten Softwarefehlers wird der Flugbetrieb für Boeings neustes Flugzeug fast weltweit eingestellt - Die letzte Ausnahme war: die USA. Der Umgang der amerikanischen Flugaufsichtsbehörde mit den Problemen des neuen Flugzeugs erscheint zweifelhaft.

    1. Boeing Rollout der neuen 777X in wenigen Tagen
    2. Boeing 747 Der Jumbo Jet wird 50 Jahre alt
    3. Lufttaxi Uber sucht eine weitere Stadt für Uber-Air-Test

    Mobile Bezahldienste: Wie sicher sind Apple Pay und Google Pay?
    Mobile Bezahldienste
    Wie sicher sind Apple Pay und Google Pay?

    Die Zahlungsdienste Apple Pay und Google Pay sind nach Ansicht von Experten sicherer als klassische Kreditkarten. In der täglichen Praxis schneidet ein Dienst etwas besser ab. Einige Haftungsfragen sind aber noch juristisch ungeklärt.
    Von Andreas Maisch

    1. Anzeige Was Drittanbieter beim Open Banking beachten müssen
    2. Finanzdienstleister Wirecard sieht kein Fehlverhalten
    3. Fintech Wirecard wird zur Smartphone-Bank

      •  /