Abo
  • IT-Karriere:

Anonymes Dokument: Angriffe auf den FreeBSD-Update-Prozess

Ein anonymes Dokument beschreibt detailliert Sicherheitslücken im FreeBSD-Update-System. Betroffen sind Portsnap, Libarchive und Bspatch. Fixes gibt es bislang nur für wenige der Bugs. Möglicherweise existieren ähnliche Angriffe auch auf Linux-Systemen.

Artikel veröffentlicht am , Hanno Böck
Ein anonymes Dokument beschreibt Sicherheitslücken in FreeBSD-Komponenten.
Ein anonymes Dokument beschreibt Sicherheitslücken in FreeBSD-Komponenten. (Bild: FreeBSD)

Die FreeBSD-Community wird aktuell durch ein mysteriöses Dokument in Aufruhr versetzt und gibt dabei kein gutes Bild ab: Ein Eintrag im Bugtracker des Libarchive-Projekts verweist auf ein vor drei Monaten anonym gepostetes Dokument auf Github, das detailliert zahlreiche Sicherheitslücken und Angriffsszenarien für den FreeBSD-Update-Prozess beschreibt.

Auch Linux betroffen?

Stellenmarkt
  1. Net-Base Computer-& Netzwerktechnik e.K., Freiburg
  2. Panasonic Industrial Devices Europe GmbH, Lüneburg

Der Bugtracker-Eintrag enthält zudem einen Verweis darauf, dass ähnliche Dokumente existierten, die Angriffe auf Linux-Distributionen beschrieben. Diese sind aber bislang nicht öffentlich aufgetaucht. Laut dem Posting, das offenbar von einer internen Mailingliste von Antivirenfirmen kopiert wurde, geht der Verfasser davon aus, dass diese Dokumente von einem Angreifer erstellt worden seien, der in der Lage sei, Man-in-the-Middle-Angriffe durchzuführen.

Die in dem anonymen Dokument beschriebenen Sicherheitslücken betreffen das Paketmanagementtool Portsnap, das Binary-Patching-Tool Bsdiff und Libarchive, eine Bibliothek samt Tools für Archivierungs- und Kompressionsformate. Die meisten dieser Lücken sind nach wie vor offen, nur vereinzelt stehen Fixes zur Verfügung. FreeBSD-Nutzer sind also zurzeit einem hohen Risiko ausgesetzt. Das HardenedBSD-Projekt hat für einige der publizierten Lücken inzwischen eigene Patches veröffentlicht.

In Portsnap gibt es verschiedene Möglichkeiten, die vorhandene Signaturprüfung zu umgehen. So findet sich etwa in Portsnap-Skript eine Codezeile, die eine Gzip-Datei mit einem SHA256-Hash vergleicht. Dabei geht das Skript davon aus, dass Gzip die Dateiendung .gz automatisch anfügt. Das ist zwar der Fall, allerdings nur, wenn der Dateiname ohne Endung nicht existiert. Das Problem, das dabei entsteht: Ein Angreifer kann zwei Dateien mitliefern, eine korrekte ohne und eine bösartige mit Endung. Die Prüfsumme der Datei ohne Endung wird korrekt geprüft, anschließend wird jedoch die Datei mit Endung genutzt.

In Libarchive finden sich mehrere Sicherheitslücken, die die Verarbeitung von Symlinks betreffen. Insgesamt finden sich vier solche Lücken im Libarchive-Code, nur eine davon ist bislang behoben. FreeBSD selbst nutzt zudem noch eine ältere Version von Libarchive (3.1.2). In den vergangenen beiden Updates, 3.2.0 und 3.2.1, wurden eine ganze Reihe von Memory-Corruption-Lücken behoben, einige davon hat der Autor dieses Artikels gemeldet.

Aufwendiger Exploit für Bspatch

Weiterhin werden in dem Dokument eine Memory-Corruption-Lücke im Tool Bspatch ausführlich beschrieben und ein Exploit vorgestellt. Ein Angreifer kann damit einen Patch erstellen, der die Ausführung von Code ermöglicht. Insbesondere dieser Teil ist bemerkenswert, denn derartige Exploits sind extrem aufwendig und schwer praktisch umzusetzen.

Das FreeBSD-Projekt hat offenbar bislang lediglich für die Bsdiff-Lücke einen Patch veröffentlicht. Doch dieser ist, wie ein Post auf der FreeBSD-Mailingliste erklärt, unvollständig und ermöglicht weiterhin Angriffe.

Weiterhin offen ist, ob tatsächlich ähnliche Angriffe auf Linux-Systeme existieren, und falls dies der Fall sein sollte, wer alles im Besitz der Dokumente ist, die diese beschreiben. Die Entwickler von Linux-Distributionen täten gut daran, alle Tools, die in ihren Updateprozessen eine Rolle spielen, auf mögliche Sicherheitslücken zu prüfen.



Anzeige
Spiele-Angebote
  1. (-80%) 6,99€
  2. 27,99€
  3. 2,99€
  4. (-75%) 9,99€

minecrawlerx 09. Aug 2016

Ja, nur verlierst du damit jeglichen Vorteil eines Package Managers.

Tautologiker 09. Aug 2016

Da erdreisten die bei HardenedBSD sich doch tatsächlich, DNSSEC zu verwenden, um die...


Folgen Sie uns
       


Cherry Stream 3.0 mit großem ß ausprobiert

Alle möglichen Umlaute auf einer Tastatur: Wir haben Cherrys Europa-Tastatur ausprobiert.

Cherry Stream 3.0 mit großem ß ausprobiert Video aufrufen
Minecraft Dungeons angespielt: Fehlt nur noch ein Klötzchen-Diablo in der Tiefe
Minecraft Dungeons angespielt
Fehlt nur noch ein Klötzchen-Diablo in der Tiefe

E3 2019 Von der Steuerung bis zu den Schatzkisten: Minecraft Dungeons hat uns beim Anspielen bis auf die Klötzchengrafik verblüffend stark an Diablo erinnert - und könnte gerade deshalb teuflisch spaßig werden!

  1. Augmented Reality Minecraft Earth erlaubt Klötzchenbauen in aller Welt
  2. Microsoft Augmented-Reality-Minecraft kommt zum zehnten Jubiläum
  3. Jubiläum ohne Notch Microsoft feiert Minecraft ohne Markus Persson

Ocean Discovery X Prize: Autonome Fraunhofer-Roboter erforschen die Tiefsee
Ocean Discovery X Prize
Autonome Fraunhofer-Roboter erforschen die Tiefsee

Öffentliche Vergaberichtlinien und agile Arbeitsweise: Die Teilnahme am Ocean Discovery X Prize war nicht einfach für die Forscher des Fraunhofer Instituts IOSB. Deren autonome Tauchroboter zur Tiefseekartierung schafften es unter die besten fünf weltweit.
Ein Bericht von Werner Pluta

  1. JAB Code Bunter Barcode gegen Fälschungen

Ada und Spark: Mehr Sicherheit durch bessere Programmiersprachen
Ada und Spark
Mehr Sicherheit durch bessere Programmiersprachen

Viele Sicherheitslücken in Software sind auf Programmierfehler zurückzuführen. Diese Fehler lassen sich aber vermeiden - und zwar unter anderem durch die Wahl einer guten Programmiersprache. Ada und Spark gehören dazu, leider sind sie immer noch wenig bekannt.
Von Johannes Kanig

  1. Das andere How-to Deutsch lernen für Programmierer
  2. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein

    •  /