• IT-Karriere:
  • Services:

Linux-Kernel: Fehlende Diskussionen können Sicherheitslücken preisgeben

Das Verhalten bei der Integration von Patches in den Linux-Kernel kann Verdacht erwecken und dabei Sicherheitslücken aufdecken.

Artikel veröffentlicht am ,
Die Kernel-Entwicklung kann auch ungewollt viele Details preisgeben.
Die Kernel-Entwicklung kann auch ungewollt viele Details preisgeben. (Bild: dfaulder/Flickr.com/CC-BY 2.0)

Ein Forscherteam aus Entwicklern und Wissenschaftlern zeigt in einer aktuellen Untersuchung, wie aus der konkreten Diskussion um Patches im Linux-Kernel - beziehungsweise eben die fehlende Diskussion darum - Rückschlüsse darauf gezogen werden können, dass diese Patches Sicherheitslücken schließen. Damit könnten Sicherheitslücken unter Umständen zu einem Zeitpunkt öffentlich werden, der vor der eigentlichen offiziellen Ankündigung liegt oder die Lücken schlicht überhaupt erst also solche erkannt werden.

Stellenmarkt
  1. Vitakraft pet care GmbH & Co. KG, Bremen
  2. Bundeskriminalamt, Wiesbaden

Die Untersuchung stammt von Forschern der OTH Regensburg, der Uni Hannover sowie von BMW und Siemens. Dabei stellen die Beteiligten ein Data-Mining-Projekt vor, das auf den Annahmen zur sonst üblichen Kernel-Entwicklung aufbaut. Die hierbei wohl wichtigste Erkenntnis ist es, dass Patches zum Kernel wie zu anderen Open-Source-Projekten üblicherweise auch vorher öffentlich diskutiert werden.

Das Team verknüpft in seiner Untersuchung nun also eben die Diskussionen auf den öffentlichen Mailinglisten mit den Code-Beiträgen zum Linux-Kernel und untersucht jene Beiträge genauer, die keine solche Diskussion aufweisen. Oft handelt es sich dabei um Beiträge von internen Teams oder Betreuern zu Code, den nur sie selbst pflegen. Oder aber um Beiträge, die Sicherheitslücken beheben. In der Untersuchung heißt es dazu: "Die Tatsache, dass ein Patch nicht öffentlich diskutiert wurde, verrät diesen".

Vor allem die komplizierte Struktur des Linux-Ökosystems mit seinen vielen verschiedenen Distributionen und Ableitungen führt oft dazu, dass zwischen der Bereitstellung des Patches samt Veröffentlichung der Sicherheitslücken und der tatsächlichen Integration in einen dieser abgeleiteten Kernel vergleichsweise viel Zeit vergehen kann. Die nun vorgestellte Methode ermöglicht es nun auch, jene Sicherheitslücken zu finden, die zum Beispiel keine besonders große Medienaufmerksamkeit bekommen haben oder für die gar keine CVE-Nummer vergeben wurde.

Dass der Linux-Kernel mit seinen vielen Patches systematisch für Angriffe analysiert wird, hat ein Bug im vergangenen Jahr gezeigt. Google hatte diesen zwar bereits gefunden und auch behoben, jedoch vergessen, den Patch an seine Android-Geräte zu verteilen. Die eigentlich geschlossene Lücke ist aufgefallen und wurde schließlich ausgenutzt. Die Forscher zeigen nun, dass derartige Vorgänge auch von Angreifer mit weiteren Methoden verfeinert werden können, um im Zweifel Exploit-Code zu schreiben.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Anker-Produkte reduziert (u. a. Anker PowerCore Speed 20000 mAh für 31,99€), bis zu 50...
  2. ab 751,90€ auf Geizhals
  3. 799,99€
  4. mit TV-, Notebook- und Einbaugerät-Angeboten

gadthrawn 08. Sep 2020 / Themenstart

Torvalds Prinzip war doch lange: Sieht es der Benutzer nicht - ist es nicht kritisch...

Kommentieren


Folgen Sie uns
       


IT-Freelancer: Der kürzeste Pfad zum nächsten Projekt
IT-Freelancer
Der kürzeste Pfad zum nächsten Projekt

Die Nachfrage nach IT-Freelancern ist groß - die Konkurrenz aber auch. Der nächste Auftrag kommt meist aus dem eigenen Netzwerk oder von Vermittlern. Doch wie findet man den passenden Mix?
Ein Bericht von Manuel Heckel

  1. Selbstständiger Sysadmin "Jetzt fehlen nur noch die Aufträge"

Geforce RTX 3080: Wir legen die Karten offen
Geforce RTX 3080
Wir legen die Karten offen

Am 16. September 2020 geht der Test der Geforce RTX 3080 online. Wir zeigen vorab, welche Grafikkarten und welche Spiele wir einsetzen werden.

  1. Ethereum-Mining Nvidias Ampere-Karten könnten Crypto-Boom auslösen
  2. Gaming Warum DLSS das bessere 8K ist
  3. Nvidia Ampere Geforce RTX 3000 verdoppeln Gaming-Leistung

Poco X3 NFC im Test: Xiaomis neuer Preisbrecher überzeugt
Poco X3 NFC im Test
Xiaomis neuer Preisbrecher überzeugt

Das Poco X3 NFC ist Xiaomis jüngstes preiswertes Smartphone, die Ausstattung verspricht angesichts des Preises einiges - und hält etliches.
Ein Test von Tobias Költzsch

  1. Xiaomi Neues Poco-Smartphone mit Vierfachkamera kostet 200 Euro
  2. Smartphone Xiaomi stellt dritte Generation verdeckter Frontkameras vor
  3. Xiaomi Mi 10 Ultra kommt mit 120-Watt-Schnellladen

    •  /