Abo
  • IT-Karriere:

Fuzzing: Google zerlegt USB-Stack des Linux-Kernels

Mit einem speziellen Fuzzer für Kernel-Systemaufrufe von Google sind extrem viele Fehler im USB-Stack des Linux-Kernels gefunden worden. Viele davon werden als kritische Sicherheitslücken eingestuft, was aber eigentlich für alle Kernel-Fehler gilt.

Artikel veröffentlicht am ,
Linux-Nutzer sollten Kernel-Updates immer einspielen.
Linux-Nutzer sollten Kernel-Updates immer einspielen. (Bild: Harald Koenig/CC-BY 4.0)

Das Werkzeug Syzkaller, das mit Unterstützung von Google erstellt und entwickelt wird, ist dazu gedacht, per Fuzzing Fehler in Betriebssystemkerneln zu finden. Dazu werden unterschiedliche Systemaufrufe mit fehlerhaften Eingaben systematisch getestet. Der Entwickler Andrey Konovalov hat mit Syzkaller nun eine Vielzahl von teilweise kritische Fehlern im USB-Stack des Linux-Kernels entdeckt.

Stellenmarkt
  1. ING-DiBa AG, Nürnberg
  2. THE BRETTINGHAMS GmbH, Berlin

Die gesamte Liste der Fehler hat Konovalov im Github-Projekt von Syzkaller zusammengefasst. Dort finden sich auch rund 20 Fehler, für die eine CVE-Nummer vergeben worden ist, die sich also auch leicht als Sicherheitslücke klassifizieren lassen. Diese Fehler können für lokale Denial-of-Service-Angriffe durch speziell präparierte USB-Geräte ausgenutzt werden und etwa zum Systemabsturz führen.

Die von Konovalov gefundenen Fehler lassen sich verschiedenen Kategorien zuordnen. So finden sich darunter etwa Null-Zeiger-Dereferenzierungen, Use-After-Free-Lücken oder auch Out-of-Bounds-Reads. Das gilt insbesondere auch für jene Fehler der Sammlung, für die keine oder noch keine CVE-Nummern vergeben sind. Darüber hinaus steht für eine Vielzahl der aufgefundenen Fehler auch noch kein Patch bereit, der die möglichen Lücken behebt.

Alle Kernel-Fehler könnten Sicherheitslücken sein

Die prinzipielle Unterscheidung zwischen Sicherheitslücken eventuell gar mit CVE-Nummern und anderen "normalen" Fehlern wird von vielen Linux-Kernel-Entwicklern sehr kritisch betrachtet. So lehnt dies etwa Linux-Erfinder und -Chefentwickler Linus Torvalds aus prinzipiellen Gründen ab. Auch der Maintainer von Langzeitkerneln, Willy Tarreau, wies erst vor einigen Tagen in einem Rückblick auf die Pflege von Version 3.10 darauf hin, dass diese Unterscheidung nicht hilfreich sei.

Denn das wiege viele Hersteller offenbar in falscher Sicherheit und führe eventuell dazu, dass sich noch Jahre später einfache Fehler als gefährliche Sicherheitslücken erweisen können. Hersteller, die die Patches in so einem Fall nicht eingespielt haben, sind dann unnötigerweise angreifbar. Ein Großteil der Kernel-Community bezeichnet deshalb sämtliche Fehler als potentiell sicherheitsrelevant und empfiehlt ausschließlich die Nutzung aktuell gepflegter Kernel-Versionen und entsprechende Updates.



Anzeige
Spiele-Angebote
  1. 2,99€
  2. 4,99€
  3. 4,99€

FreiGeistler 09. Nov 2017

Welche Distro/Version? Debian 3.9? Ich meine, du klingst hier wirklich als könntest du...

Smaug 09. Nov 2017

Theoretisch schon. Man sollte zwei prinzipielle Szenarien unterscheiden: Das eine ist ein...

ML82 09. Nov 2017

Ist das eine ernsthafte Frage? natürlich nein, weil USB mit DMA implemtiert wurde, wie...

miauwww 08. Nov 2017

Der Dev ist der, der schon sehr lange an solchem Fuzzing arbeitet, und er wird halt von...


Folgen Sie uns
       


Cowboy Pedelec ausprobiert

Sportlich und minimalistisch - das Cowboy Pedelec ist jetzt auch in Deutschland verfügbar.

Cowboy Pedelec ausprobiert Video aufrufen
Black Mirror Staffel 5: Der Gesellschaft den Spiegel vorhalten
Black Mirror Staffel 5
Der Gesellschaft den Spiegel vorhalten

Black Mirror zeigt in der neuen Staffel noch alltagsnäher als bisher, wie heutige Technologien das Leben in der Zukunft katastrophal auf den Kopf stellen könnten. Dabei greift die Serie auch aktuelle Diskussionen auf und zeigt mitunter, was bereits im heutigen Alltag schiefläuft - ein Meisterwerk! Achtung, Spoiler!
Eine Rezension von Tobias Költzsch

  1. Streaming Netflix testet an Instagram erinnernden News-Feed
  2. Start von Disney+ Netflix wird nicht dauerhaft alle Disney-Inhalte verlieren
  3. Videostreaming Netflix will Zuschauerzahlen nicht länger geheim halten

Doom Eternal angespielt: Die nächste Ballerorgie von id macht uns fix und fertig
Doom Eternal angespielt
Die nächste Ballerorgie von id macht uns fix und fertig

E3 2019 Extrem schnelle Action plus taktische Entscheidungen, dazu geniale Grafik und eine düstere Atmosphäre: Doom Eternal hat gegenüber dem erstklassigen Vorgänger zumindest beim Anspielen noch deutlich zugelegt.

  1. Sigil John Romero setzt Doom fort

IT-Forensikerin: Beweise sichern im Faradayschen Käfig
IT-Forensikerin
Beweise sichern im Faradayschen Käfig

IT-Forensiker bei der Bundeswehr sichern Beweise, wenn Soldaten Dienstvergehen oder gar Straftaten begehen, und sie jagen Viren auf Militärcomputern. Golem.de war zu Gast im Zentrum für Cybersicherheit, das ebenso wie die IT-Wirtschaft um guten Nachwuchs buhlt.
Eine Reportage von Maja Hoock

  1. Homeoffice Wenn der Arbeitsplatz so anonym ist wie das Internet selbst
  2. Bundesagentur für Arbeit Informatikjobs bleiben 132 Tage unbesetzt
  3. IT-Headhunter ReactJS- und PHP-Experten verzweifelt gesucht

    •  /