Abo
  • Services:
Anzeige
Exploit für Ubuntus Crash-Handler Apport gefunden.
Exploit für Ubuntus Crash-Handler Apport gefunden. (Bild: Donncha O'Cearbhaill)

Linux-Sicherheit: Ubuntu-Bug ermöglicht das Ausführen von Schadcode

Exploit für Ubuntus Crash-Handler Apport gefunden.
Exploit für Ubuntus Crash-Handler Apport gefunden. (Bild: Donncha O'Cearbhaill)

Ein gefährlicher Fehler in Ubuntus Crash-Handler Apport ermöglicht es Angreifern, auf einem Zielrechner beliebigen Code aus der Ferne auszuführen. Eine Firma hat dem Entdecker der Lücke über 10.000 Dollar für den Exploit angeboten, dieser zog es jedoch vor, den Fehler an Ubuntu zu melden.

Apport sah für den irischen Programmierer Donncha O'Cearbhaill nach einem tollen Kandidaten für seine Forschung aus. "Es ist standardmäßig installiert und als ein Default File Handler registriert", schreibt er in seinem Blog. Und anders als große Programme wie Firefox, Libreoffice oder Bildbetrachter werde dem Crash-Handler verhältnismäßig wenig Beachtung geschenkt.

Anzeige

O'Cearbhaill beschreibt einen Angriff durch einen Code-Injection-Fehler in CrashDB, bei dem ein Angreifer sein Opfer lediglich dazu bringen muss, eine präparierte Crash-Datei lokal zu öffnen. Weil Ubuntu Dateitypen nicht nur an ihrer Endung erkennen kann, sondern auch an einem Mimetype-Pattern im <magic>-Tag, lässt sich der eigentliche Dateityp leicht verschleiern. O'Cearbhaill machte sich zunutze, dass Ubuntu jedweden unbekannten Dateityp mit dem Crash-Handler Apport öffnet, solange der <magic>-Tag den Wert "ProblemType:" enthält.

Alle Ubuntu-Versionen seit 12.10 betroffen

Der Code-Injection-Fehler wurde laut seinem Entdecker bereits am 22. August 2012 in Apports Revision 2464 eingeführt. Diese Version ist in allen Ubuntu-Versionen seit 12.10 (Quantal Quetzal) enthalten, einschließlich dem aktuellen Ubuntu 16.10 (Yakkety Yak).

Weil Crash-Dateien für System-Crashes von Apport mit Root-Rechten geöffnet werden, sei es zudem möglich, den Exploit mit einer Rechte-Eskalation zu verbinden. Dazu müsse die präparierte Crash-Datei in /var/crash abgelegt werden und der Nutzer beim Ausführen das Root-Passwort eingeben. Dies dürfte so mancher Ubuntu-Nutzer, der Systemcrashs bereits aus der Vergangenheit kennt, ohne weitere Prüfung tun.

Exploits zu verkaufen, wird immer lukrativer

Mit dem Verkauf dieser Lücke hätte O'Cearbhaill offenbar gut Geld verdienen können. Eine Firma habe ihm mehr als 10.000 US-Dollar für den Exploit angeboten, schreibt er. Als verantwortungsvoller Hacker zog der es jedoch vor, den Fehler an Ubuntu zu melden, damit er behoben werden kann. Auch deswegen verbindet O'Cearbhaill seine Veröffentlichung mit einem dringenden Appell: "Die IT-Industrie hat einen ernsthaften Interessenkonflikt. Es gibt einen riesigen finanziellen Anreiz für Sicherheitsforscher, gefundene Schwachstellen an Exploit-Händler zu verkaufen."

Diese Situation werde auch nicht besser, sondern schlimmer, denn "die finanziellen Anreize werden desto stärker, je sicherer Software wird und je schwieriger es wird, Fehler zu finden." Aus diesem Grund müsse die Industrie Gegenanreize für Forscher schaffen. "Wir können und sollten und nicht darauf verlassen, dass Forscher ihre Arbeit kostenlos für die Softwareindustrie verrichten. So bekommen wir keine Sicherheit." Google und Microsoft gingen hier mit ihren Bug-Bounty-Programmen mit gutem Beispiel voran.

Ubuntu-Team vorbildlich

Das Sicherheitsteam der Linux-Distribution hat O'Cearbhaill zufolge hervorragend reagiert und den Fehler schnell behoben. Bereits am 14. Dezember, nur fünf Tage nach der ersten Kontaktaufnahme, standen korrigierte Versionen von Apport in Ubuntus offiziellen Repositories zum Download bereit.


eye home zur Startseite
der_wahre_hannes 19. Dez 2016

Ermöglicht es immer noch, wenn der Bugfix noch nicht eingespielt wurde.

Schnarchnase 19. Dez 2016

Es ist auf jeden Fall anständig wie der Hacker reagiert hat. Die Firma die das Geld...

HorkheimerAnders 18. Dez 2016

Linux ist kein Gefrickel, aber wissen was dein Linux nu ausmacht bzw. die Distri...

bjs 17. Dez 2016

ich meine damit, dass gut sein alleine nicht mehr reicht. man muss sich auch pausenlos...

lear 17. Dez 2016

Es geht hier um Apport und nicht DrKonqi. Letzterer wird auch nur von KDE Anwendungen...



Anzeige

Stellenmarkt
  1. Schlütersche Verlagsgesellschaft mbH & Co. KG, Hannover
  2. T-Systems International GmbH, verschiedene Standorte
  3. BG-Phoenics GmbH, München
  4. Dataport, Hamburg, Altenholz bei Kiel


Anzeige
Spiele-Angebote
  1. 5,99€
  2. 69,99€ (Vorbesteller-Preisgarantie)
  3. 8,99€

Folgen Sie uns
       


  1. Die Woche im Video

    Mr. Robot und Mrs. MINT

  2. Spülbohrverfahren

    Deutsche Telekom "spült" ihre Glasfaserkabel in die Erde

  3. Privacy Phone

    John McAfee stellt fragwürdiges Smartphone vor

  4. Hacon

    Siemens übernimmt Software-Anbieter aus Hannover

  5. Quartalszahlen

    Intel bestätigt Skylake-Xeons für Sommer 2017

  6. Sony

    20 Millionen Playstation im Geschäftsjahr verkauft

  7. Razer Lancehead

    Symmetrische 16.000-dpi-Maus läuft ohne Cloud-Zwang

  8. TV

    SD-Abschaltung kommt auch bei Satellitenfernsehen

  9. ZBook G4

    HP stellt Grafiker-Workstations für unterwegs vor

  10. Messenger Lite

    Facebook bringt abgespeckte Messenger-App nach Deutschland



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Akkutechnik: Was, wenn nicht Lithium?
Akkutechnik
Was, wenn nicht Lithium?
  1. Anker Powercore+ 26800 PD Akkupack liefert Strom per Power Delivery über USB Typ C
  2. Geländekauf in Nevada Google wird Nachbar von Teslas Gigafactory
  3. Lithium-Akkus Durchbruch verzweifelt gesucht

Quantencomputer: Alleskönner mit Grenzen
Quantencomputer
Alleskönner mit Grenzen
  1. Cryogenic Memory Rambus arbeitet an tiefgekühltem Quantenspeicher
  2. Quantenphysik Im Kleinen spielt das Universum verrückt

Spielebranche: "Ungefähr jetzt ist der Prinzessin-Leia-Moment"
Spielebranche
"Ungefähr jetzt ist der Prinzessin-Leia-Moment"
  1. Electronic Arts "Alle unsere Studios haben VR-Programmiermöglichkeiten"
  2. Spielentwickler Männlich, 34 Jahre alt und unterbezahlt
  3. Let's Player Auf Youtube verkauft auch die Trashnight Spiele

  1. Re: Illegitime Rechnungen verschicken und Geld...

    Kleba | 09:25

  2. Re: Qualität

    wo.ist.der... | 09:25

  3. Re: Und später mal in ein paar Jahren

    gbpa005 | 09:23

  4. Re: Meione Erfahrugn zeigt, das es nicht reicht...

    matok | 09:20

  5. FlowTex reloaded...

    jude | 09:15


  1. 09:01

  2. 08:00

  3. 18:05

  4. 17:30

  5. 17:08

  6. 16:51

  7. 16:31

  8. 16:10


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel