Abo
  • Services:

Fuzzing: Google zerlegt USB-Stack des Linux-Kernels

Mit einem speziellen Fuzzer für Kernel-Systemaufrufe von Google sind extrem viele Fehler im USB-Stack des Linux-Kernels gefunden worden. Viele davon werden als kritische Sicherheitslücken eingestuft, was aber eigentlich für alle Kernel-Fehler gilt.

Artikel veröffentlicht am ,
Linux-Nutzer sollten Kernel-Updates immer einspielen.
Linux-Nutzer sollten Kernel-Updates immer einspielen. (Bild: Harald Koenig/CC-BY 4.0)

Das Werkzeug Syzkaller, das mit Unterstützung von Google erstellt und entwickelt wird, ist dazu gedacht, per Fuzzing Fehler in Betriebssystemkerneln zu finden. Dazu werden unterschiedliche Systemaufrufe mit fehlerhaften Eingaben systematisch getestet. Der Entwickler Andrey Konovalov hat mit Syzkaller nun eine Vielzahl von teilweise kritische Fehlern im USB-Stack des Linux-Kernels entdeckt.

Stellenmarkt
  1. Stadtwerke München GmbH, München
  2. Soluvia IT-Services GmbH, Mannheim

Die gesamte Liste der Fehler hat Konovalov im Github-Projekt von Syzkaller zusammengefasst. Dort finden sich auch rund 20 Fehler, für die eine CVE-Nummer vergeben worden ist, die sich also auch leicht als Sicherheitslücke klassifizieren lassen. Diese Fehler können für lokale Denial-of-Service-Angriffe durch speziell präparierte USB-Geräte ausgenutzt werden und etwa zum Systemabsturz führen.

Die von Konovalov gefundenen Fehler lassen sich verschiedenen Kategorien zuordnen. So finden sich darunter etwa Null-Zeiger-Dereferenzierungen, Use-After-Free-Lücken oder auch Out-of-Bounds-Reads. Das gilt insbesondere auch für jene Fehler der Sammlung, für die keine oder noch keine CVE-Nummern vergeben sind. Darüber hinaus steht für eine Vielzahl der aufgefundenen Fehler auch noch kein Patch bereit, der die möglichen Lücken behebt.

Alle Kernel-Fehler könnten Sicherheitslücken sein

Die prinzipielle Unterscheidung zwischen Sicherheitslücken eventuell gar mit CVE-Nummern und anderen "normalen" Fehlern wird von vielen Linux-Kernel-Entwicklern sehr kritisch betrachtet. So lehnt dies etwa Linux-Erfinder und -Chefentwickler Linus Torvalds aus prinzipiellen Gründen ab. Auch der Maintainer von Langzeitkerneln, Willy Tarreau, wies erst vor einigen Tagen in einem Rückblick auf die Pflege von Version 3.10 darauf hin, dass diese Unterscheidung nicht hilfreich sei.

Denn das wiege viele Hersteller offenbar in falscher Sicherheit und führe eventuell dazu, dass sich noch Jahre später einfache Fehler als gefährliche Sicherheitslücken erweisen können. Hersteller, die die Patches in so einem Fall nicht eingespielt haben, sind dann unnötigerweise angreifbar. Ein Großteil der Kernel-Community bezeichnet deshalb sämtliche Fehler als potentiell sicherheitsrelevant und empfiehlt ausschließlich die Nutzung aktuell gepflegter Kernel-Versionen und entsprechende Updates.



Anzeige
Blu-ray-Angebote

FreiGeistler 09. Nov 2017

Welche Distro/Version? Debian 3.9? Ich meine, du klingst hier wirklich als könntest du...

Smaug 09. Nov 2017

Theoretisch schon. Man sollte zwei prinzipielle Szenarien unterscheiden: Das eine ist ein...

ML82 09. Nov 2017

Ist das eine ernsthafte Frage? natürlich nein, weil USB mit DMA implemtiert wurde, wie...

miauwww 08. Nov 2017

Der Dev ist der, der schon sehr lange an solchem Fuzzing arbeitet, und er wird halt von...


Folgen Sie uns
       


Microsoft Surface Go - Test

Das Surface Go mag zwar klein sein, darin steckt jedoch ein vollwertiger Windows-10-PC. Der kleinste Vertreter von Microsofts Produktreihe überzeigt als Tablet in Programmen und Spielen. Das Type Cover ist weniger gut.

Microsoft Surface Go - Test Video aufrufen
Norsepower: Stahlsegel helfen der Umwelt und sparen Treibstoff
Norsepower
Stahlsegel helfen der Umwelt und sparen Treibstoff

Der erste Test war erfolgreich: Das finnische Unternehmen Norsepower hat zwei weitere Schiffe mit Rotorsails ausgestattet. Der erste Neubau mit dem Windhilfsantrieb ist in Planung. Neue Regeln der Seeschifffahrtsorganisation könnten bewirken, dass künftig mehr Schiffe saubere Antriebe bekommen.
Ein Bericht von Werner Pluta

  1. Car2X Volkswagen will Ampeln zuhören
  2. Innotrans Die Schiene wird velosicher
  3. Logistiktram Frankfurt liefert Pakete mit Straßenbahn aus

Neuer Echo Dot im Test: Amazon kann doch gute Mini-Lautsprecher bauen
Neuer Echo Dot im Test
Amazon kann doch gute Mini-Lautsprecher bauen

Echo Dot steht bisher für muffigen, schlechten Klang. Mit dem neuen Modell zeigt Amazon, dass es doch gute smarte Mini-Lautsprecher mit dem Alexa-Sprachassistenten bauen kann, die sogar gegen die Konkurrenz von Google ankommen.
Ein Test von Ingo Pakalski


    Künstliche Intelligenz: Wie Computer lernen
    Künstliche Intelligenz
    Wie Computer lernen

    Künstliche Intelligenz, Machine Learning und neuronale Netze zählen zu den wichtigen Buzzwords dieses Jahres. Oft wird der Eindruck vermittelt, dass Computer bald wie Menschen denken können. Allerdings wird bei dem Thema viel durcheinandergeworfen. Wir sortieren.
    Von Miroslav Stimac

    1. Innotrans KI-System identifiziert Schwarzfahrer
    2. USA Pentagon fordert KI-Strategie fürs Militär
    3. KI Deepmind-System diagnostiziert Augenkrankheiten

      •  /