• IT-Karriere:
  • Services:

GNU Patch: Holey Beep verrät Zeroday in Patch-Tool

Eine scherzhafte Webseite über eine Sicherheitslücke im Piepston-Tool beep verrät zwar keine Details darüber - dafür enthält sie aber einen Hinweis auf eine Sicherheitslücke im Patch-Tool. Für die beep-Lücke gibt es außerdem zwischenzeitlich einen Proof of Concept.

Artikel veröffentlicht am , Hanno Böck
Holey Beep - eine scherzhafte Webseite über eine Sicherheitslücke im Kommandozeilentool beep - verrät gleich noch eine weitere Lücke im Tool Patch.
Holey Beep - eine scherzhafte Webseite über eine Sicherheitslücke im Kommandozeilentool beep - verrät gleich noch eine weitere Lücke im Tool Patch. (Bild: Holey Beep)

Auf der Webseite über die Holey Beep-Sicherheitslücke ist ein Hinweis auf eine weitere Sicherheitslücke versteckt - und die ist etwas kritischer, da sie ein vielgenutztes Tool betrifft: das Standard-Patch-Tool des GNU-Projekts, das auf gängigen Linux-Systemen üblicherweise installiert ist.

Stellenmarkt
  1. SySS GmbH, Tübingen, Frankfurt am Main, München, Wien (Österreich)
  2. Mediengruppe Pressedruck, Augsburg

Holey Beep ist eine echte Sicherheitslücke im Kommandozeilentool beep, das lediglich dazu dient, Piepstöne auszugeben. Die Webseite dazu enthält aber keine technischen Details und macht sich vor allem über das Marketing von Sicherheitslücken lustig.

Versteckter 0day in GNU Patch

Auf der Webseite findet sich ein Patch für die Lücke in beep - doch dieser Patch enthält selbst wiederum einen Exploit. Im Bug-Tracker von Debian findet sich dazu eine Diskussion. Der Patch fixt zwar tatsächlich die beep-Sicherheitslücke, gleichzeitig schreibt er aber auch eine Datei "pwn.lol" in das Verzeichnis des Users, der den Patch ausführt.

Möglich ist das, weil das Patch-Tool sogenannte ed-Patches unterstützt und automatisch erkennt. Das Tool ed ist ein zeilenbasierter Texteditor und lässt sich skripten. Das Problem: Damit lassen sich auch beliebige Befehle ausführen.

Die Lücke wurde inzwischen an das Patch-Projekt gemeldet und hat die Id CVE-2018-1000156 zugewiesen bekommen. Ein offizielles Update gibt es bislang nicht, allerdings finden sich im Bugtracker des Patch-Tools verschiedene Patches, die das Problem auf unterschiedliche Weise lösen.

Ein praktisch identisches Problem mit ed-Patches wurde bereits 2015 in FreeBSD und in OpenBSD behoben.

Exploit für beep-Lücke aufgetaucht

Für die beep-Sicherheitslücke gibt es inzwischen auf Github einen Exploit. Über eine Race-Condition schreibt dieser einige Bytes in eine Datei, die unter Debian regelmäßig als Cronjob ausgeführt wird. Dadurch wird ein Skript im Temp-Verzeichnis ausgeführt, welches dann unter Kontrolle des Users ist und mit Root-Rechten gestartet wird. Somit kann ein Nutzer Root-Rechte erlangen.

Möglich ist das, weil das beep-Tool es erlaubt, die genauen Parameter, die in ein Device geschrieben werden, zu kontrollieren. Somit kann ein Dateipfad entsprechend als Integer codiert werden. Den Devicenamen kann man ebenfalls über die Kommandozeile übergeben.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 20,49€
  2. (-75%) 4,99€
  3. 25,99€

schily 09. Apr 2018

Also mein patch patcht ein File in /tmp und wenn man das "red" aus /tmp/ aufrufen würde...


Folgen Sie uns
       


Razer Blade Stealth 13 - Test

Dass ein Gaming-Notebook kompakt sein kann und auch als Arbeitsnotebook fürs Schreiben taugt, haben wir eher weniger erwartet. Das Razer Blade Stealth 13 zeigt, dass dies trotzdem möglich ist.

Razer Blade Stealth 13 - Test Video aufrufen
Mr. Robot rezensiert: Domo Arigato, Mr. Robot!
Mr. Robot rezensiert
Domo Arigato, Mr. Robot!

Wie im Achtziger-Klassiker Mr. Roboto von Styx hat auch Elliot in Mr. Robot Geheimnisse. Die Dramaserie um den Hacker ist nicht nur wegen Rami Malek grandios. Sie hat einen ganz eigenen beeindruckenden visuellen Stil und zeigt Hacking, wie es wirklich ist. Wir blicken nach dem Serienfinale zurück.
Eine Rezension von Oliver Nickel und Moritz Tremmel

  1. Openideo-Wettbewerb Die fünf besten Hacker-Symbolbilder sind ausgewählt
  2. Cyberangriffe Attribution ist wie ein Indizienprozess
  3. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken

Concept One ausprobiert: Oneplus lässt die Kameras verschwinden
Concept One ausprobiert
Oneplus lässt die Kameras verschwinden

CES 2020 Oneplus hat sein erstes Konzept-Smartphone vorgestellt. Dessen einziger Zweck es ist, die neue ausblendbare Kamera zu zeigen.
Von Tobias Költzsch

  1. Bluetooth LE Audio Neuer Standard spielt parallel auf mehreren Geräten
  2. Streaming Amazon bringt Fire TV ins Auto
  3. Thinkpad X1 Fold im Hands-off Ein Blick auf Lenovos pfiffiges Falt-Tablet

Elektromobilität: Diese E-Autos kommen 2020 auf den Markt
Elektromobilität
Diese E-Autos kommen 2020 auf den Markt

Bei Käufern wird die höhere Umweltprämie, bei den Herstellern werden die strengeren CO2-Grenzwerte die Absatzzahlen von Elektroautos ankurbeln. Interessenten haben 2020 eine noch größere Auswahl, hier ein Überblick über die Neuerscheinungen.
Ein Bericht von Dirk Kunde

  1. Mercedes E-Econic Daimler elektrifiziert den Müllwagen
  2. Umweltprämie für Elektroautos Regierung verzögert Prüfung durch EU-Kommission
  3. Intransparente Preise Verbraucherschützer mahnen Ladenetzbetreiber New Motion ab

    •  /