Bootloader Grub: Gravierende Sicherheitslücke entdeckt

Fehler in Passwortabfrage in neuer Version behoben

Im Bootloader Grub 1.97 wurde eine Sicherheitslücke in der Passwortabfrage entdeckt, die den Zugriff auch ohne komplettes Passwort erlaubt. Die Entwickler haben den Fehler in der aktualisierten Version 1.97.1 behoben.

Artikel veröffentlicht am 10. November 2009, 9:48 Uhr, Jörg Thoma

Im unter Linux eingesetzten Bootloader Grub 1.97 haben Entwickler eine Sicherheitslücke entdeckt, die es erlaubt, die Passwortabfrage durch Eingabe eines Teils des Kennworts zu umgehen. Es genügt bereits, den ersten Buchstaben des gesetzten Passworts einzugeben, um Zugang zum Bootmanager zu erlangen. Auch die Eingabe eines Teilstrings des Passworts, bestehend aus mindestens einem Buchstaben, genügt, um eine Freigabe zu erhalten.

Entwickler reagierten sofort und veröffentlichten bereits die Version 1.97.1, die das Problem behebt. Auf der Entwicklerseite liegt Version 1.97.1 zum Download bereit. Zusätzlich bringt die neue Version auch die Unterstützung für GNU/Hurd-basierte Systeme und zahlreiche aktualisierte Fehlermeldungen. Ebenfalls behoben wurde ein Problem, durch das die Kompilierung unter MacOS X bislang scheiterte. Schließlich wurde auch die Dokumentation aktualisiert.

Grub 1.97 ist die erste Ausgabe des runderneuerten Bootloaders, der unter der Versionsbezeichnung Grub 2 kursiert und bereits in einigen Distributionen zum Einsatz kommt, darunter in Ubuntu 9.10 Karmic Koala. Die neue Version erschien erst Mitte Oktober 2009 nach zweijähriger Entwicklungszeit und bringt unter anderem Unterstützung für das Ext4-Dateisystem, RAID 4, 6, 10 und FreeBSD-, NetBSD- und OpenBSD-Systeme.