Linux-Kernel: Netfilter-Bug gibt Nutzern Root-Rechte

Fehler im Netfilter-Code des Linux-Kernels ermöglichen eine Rechteausweitung für Nutzer.

Artikel veröffentlicht am ,
Im Linux-Kernel wurde eine Sicherheitslücke geschlossen, die eine Rechteausweitung ermöglicht.
Im Linux-Kernel wurde eine Sicherheitslücke geschlossen, die eine Rechteausweitung ermöglicht. (Bild: François Guerraz/Wikimedia Commons/CC-BY-SA 3.0)

Im Linux-Kernel sind mehrere Fehler im Netfilter-Code gefunden worden, die es einem Nutzer ermöglichen, Root-Rechte zu erlangen. Das Kernel-Team hat für alle unterstützten Versionszweige Updates veröffentlicht.

Stellenmarkt
  1. Professional IT Service Mitarbeiter (m/w/d)
    Applied Security GmbH, Großwallstadt, Home-Office
  2. Fullstack Entwickler (m/w/d)
    Pfalzwerke Aktiengesellschaft, Ludwigshafen
Detailsuche

Der Entdecker der Lücken, David Bouman, hat in einer Mail an die Oss-Security-Mailingliste Details dazu veröffentlicht. Demnach handelt es sich um einen Integer Overflow, der durch eine zulässige Compileroptimierung verursacht wird und dem Angreifer einen Out-of-Bounds-Schreibzugriff ermöglicht (CVE-2022-1015), sowie die Nutzung von uninitialisiertem Speicher (CVE-2022-1016).

Exploit soll in wenigen Tagen veröffentlicht werden

Bouman hat nach eigenen Angaben einen Exploit geschrieben, mit dem ein Nutzer Root-Rechte erlangen kann. Diesen will er in einigen Tagen veröffentlichen. Um die Lücken auszunutzen, muss ein Nutzer Zugriff auf User- und Network-Namespaces haben. In gängigen Distributionen ist dies meist standardmäßig aktiviert.

Es ist bereits die zweite Lücke innerhalb kurzer Zeit, die eine Rechteausweitung im Linux-Kernel ermöglicht. Vor etwa drei Wochen wurde eine Sicherheitslücke namens Dirty Pipe bekannt, bei der ein Nutzer durch Schreibzugriffe auf Dateien des Root-Nutzers dessen Rechte erlangen konnte.

Golem Karrierewelt
  1. Entwicklung mit Unity auf der Microsoft HoloLens 2 Plattform: virtueller Zwei-Tage-Workshop
    07./08.06.2022, Virtuell
  2. Container Technologie: Docker und Kubernetes - Theorie und Praxis: virtueller Drei-Tage-Workshop
    04.-07.07.2022, virtuell
Weitere IT-Trainings

Geschlossen ist die Lücke in Kernel-Version 5.17.1, auch für ältere Versionszweige wurden Updates veröffentlicht. Zum Zeitpunkt dieses Artikels war für die gängigen Linux-Distributionen Debian, Ubuntu und Red Hat noch kein Update verfügbar, diese dürften allerdings in Kürze erscheinen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Cloud Cam
Amazon macht eigene Überwachungskamera unbrauchbar

Eine fünf Jahre alte Überwachungskamera wird noch dieses Jahr von Amazon außer Betrieb genommen. Kunden erhalten Ersatz, der vielen aber nichts nützt.

Cloud Cam: Amazon macht eigene Überwachungskamera unbrauchbar
Artikel
  1. 30 Jahre Alone in the Dark: Als der Horror filmreif wurde
    30 Jahre Alone in the Dark
    Als der Horror filmreif wurde

    Alone in the Dark feiert Geburtstag. Das Horrorspiel war ein Meilenstein bei der filmreifen Inszenierung von Games. Wie spielt es sich heute?
    Von Andreas Altenheimer

  2. Deutsche Telekom: Spezieller Smartphone-Tarif für Flüchtlinge aus der Ukraine
    Deutsche Telekom
    Spezieller Smartphone-Tarif für Flüchtlinge aus der Ukraine

    Wenn Flüchtlinge aus der Ukraine eine kostenlose SIM-Karte der Deutschen Telekom nutzen, können sie bald in den neuen Tarif wechseln.

  3. Update-Installation dauert: Störungen bei Kartenzahlungen im Einzelhandel bleiben
    Update-Installation dauert
    Störungen bei Kartenzahlungen im Einzelhandel bleiben

    Es gibt ein Update, um die Zahlungsstörungen mit Giro- oder Kreditkarte zu beseitigen. Die Verteilung des Updates braucht aber noch Zeit.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Alternate (ASUS VG30VQL1A QHD/200 Hz 329€ statt 399,90€ im Vergleich) • Apple iPhone 12 128 GB 669€ statt 699€ im Vergleich• Prime Video: Filme leihen für 0,99€ • Gigabyte RTX 3080 12 GB ab 1.024€ • Mindstar (u. a. MSI MPG X570 Gaming Plus 119€ statt 158,90€ im Vergleich) [Werbung]
    •  /