• IT-Karriere:
  • Services:

Linux: Vermeidbare Lücke bedroht Mehrzahl der Android-Geräte

Durch eine Sicherheitslücke im Linux-Kernel lassen sich Root-Rechte erlangen. Der fehlerhafte Code betrifft neben Millionen Linux-Nutzern wohl auch den größten Teil aller Android-Geräte - und hätte mit einem seit langem diskutierten Ansatz verhindert werden können.

Artikel veröffentlicht am ,
Mit mehr Sicherheitsfunktionen im Linux-Kernel hätte der Fehler nicht ausgenutzt werden können.
Mit mehr Sicherheitsfunktionen im Linux-Kernel hätte der Fehler nicht ausgenutzt werden können. (Bild: Wikimedia, Martin St-Amant/CC-BY 3.0)

Die Sicherheitsforscher von Perception Point haben eine Lücke im Linux-Kernel entdeckt (CVE-2016-0728), durch die Angreifer Root-Rechte auf dem System erlangen können. Der Analyse zufolge gibt es den fehlerhaften Code bereits seit 2012 in Linux und er betrifft alle Versionen seit 3.8.

Stellenmarkt
  1. ADAC IT Service GmbH, München
  2. Stuttgarter Lebensversicherung a.G., Stuttgart

Neben den meisten der aktuellen Linux-Distributionen enthalten damit wohl auch sehr viele Android-Geräte die Sicherheitslücke. Außer den von Google für das Android Open Source Project (AOSP) vorgegebenen Kerneln für Android 4.4 (Kitkat), 5 (Lollipop) und 6 (Marshmallow) gilt dies auch für einige noch ältere Kernel. So berichten Nutzer auf Reddit von Backports des fehlerhaften Codes zum Beispiel auf Version 3.4. Perception Point schätzt, dass zwei Drittel aller Android-Geräte betroffen seien.

Fehler wäre vermeidbar gewesen

Der Fehler ist auf einen Ganzzahl-Überlauf im Kernel-eigenen Schlüsselbund zurückzuführen. Diese Komponente dient Userspace-Programmen und Treibern zum sicheren Speichern von Daten und Schlüsseln. Den Überlauf nutzten die Forscher, um einen Use-After-Free-Fehler zu provozieren. Damit konnte ein Schlüssel-Objekt des Kernels durch Code ausgetauscht werden, der schließlich vom Kernel selbst ausgeführt wird.

Diese Erklärung klingt zwar einfach, dem Bericht zufolge dauert das Ausnutzen der Lücke mit ihrem Beispielcode dennoch etwa 30 Minuten auf einem aktuellen Desktop-System. Erschwert werden könnte ein erfolgreicher Angriff über diese Lücke zudem durch die Verwendung einiger Sicherheitsfunktionen von Intel-CPUs (SMEP, SMAP) sowie durch SELinux. Letzteres wird in Android seit Version 4.2 alias Jelly Bean genutzt. In seiner Erklärung weist Perception Point zwar darauf hin, dass Vorkehrungen wie SELinux auch leicht umgangen werden könnten.

Mit einer Funktion des Pax-Teams (PAX_REFCOUNT) hätte der hier genutzte Überlauf einer Variablen zur Referenzzählung jedoch wahrscheinlich vollständig verhindert werden können. Ein Mechanismus, der vor dem Überlaufen dieser Variablen schützt, ist bereits im Jahr 2012 vorgeschlagen worden. Als Teil der neugegründeten Sicherheitsinitiative Kernel Self Protection Project (KSPP) ist im vergangenen Dezember auch die Aufnahme dieses Patches in den Hauptzweig des Linux-Kernels diskutiert worden. Noch ist dies aber nicht umgesetzt.

Patches für Distros verfügbar

Sowohl Red Hat als auch Ubuntu haben die Lücke mit der zweithöchsten Gefahrenstufe versehen, da für den Angriff Code von einem angemeldeten Nutzer ausgeführt werden muss. Die höchste Warnstufe ist Fehlern vorbehalten, bei denen Angreifer von außen Zugriff auf das System erlangen können.

Patches sind für die meistverbreiteten Linux-Distributionen bereits verfügbar oder in Arbeit, so dass in Kürze Updates bereitstehen sollten. Wie sich bei schweren Lücken im vergangenen Jahr zeigte, haben viele Android-Hersteller allerdings oft Probleme damit, zeitnah Sicherheitspatches für ihre Geräte zu veröffentlichen. Einige Entwickler sehen die Ursache dafür in der großen Diversität von Android.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. HP 15s Power Notebook für 629,00€, LG 27 Zoll Monitor für 279,00€, Lenovo V155 Laptop...
  2. (aktuell u. a. Emtec X150 SSD Power Plus 480 GB für 51,90€ (Tages-Deal), BenQ EX3203R, 31,5-Zoll...
  3. (u. a. F1 2019 Anniversary Edition für 26,99€, Hitman 2 Gold Edition für 20,99€)
  4. (u. a. Fallout 4 für 8,50€, For Honor für 8,99€, Mortal Kombat 11 für 23,99€)

kendon 28. Jan 2016

Ja, das wird dann wohl nix. Mein FireTV könnte das allerdings 3 Monate laufen lassen...

DeinGott 25. Jan 2016

Da spricht mir jemand aus der Seele. Jedoch: Jedes publikumorientierte Betriebssystem...

minecrawlerx 21. Jan 2016

Und was genau willst du nun damit sagen? Denkst du wirklich, dass es bei proprietären...

Niaxa 20. Jan 2016

Zum einen kein Button, zum weiteren is der Win Administrator nicht mit Root vergleichbar...

TC 20. Jan 2016

Ich hoffe dann mal auf eine neue Root-App für aktuellere Androids ;)


Folgen Sie uns
       


55-Zoll-OLED-Monitor von Alienware - Test

Mit 120 Hz, 4K-Auflösung und 55-Zoll-Panel ist der AW5520qf ein riesiger Gaming-Monitor. Darauf macht es besonders Spaß, Monster in Borderlands 3 zu besiegen. Wäre da nicht die ziemlich niedrige Ausleuchtung.

55-Zoll-OLED-Monitor von Alienware - Test Video aufrufen
Deep Fakes: Hello, Adele - bist du's wirklich?
Deep Fakes
Hello, Adele - bist du's wirklich?

Mit Deep Fakes wird geblödelt, gehetzt und geputscht. Bedrohen Videos, die vorgaukeln, Stars und Politiker zu zeigen, die Demokratie? Möglich, nur anders, als wir denken.
Eine Analyse von Meike Laaff

  1. Machine Learning Kalifornien will gegen Deep-Fake-Pornografie vorgehen
  2. Machine Learning Tensorflow 2.0 macht Keras-API zum zentralen Bestandteil
  3. Neural Structured Learning Tensorflow lernt auf Graphen und strukturierten Daten

Macbook Pro 16 Zoll im Test: Ein Schritt zurück sind zwei Schritte nach vorn
Macbook Pro 16 Zoll im Test
Ein Schritt zurück sind zwei Schritte nach vorn

Keine Butterfly-Tastatur mehr, eine physische Escape-Taste, dünnere Displayränder: Es scheint, als habe Apple beim Macbook Pro 16 doch auf das Feedback der Nutzer gehört und ist einen Schritt zurückgegangen. Golem.de hat sich angeschaut, ob sich die Änderungen auch lohnen.
Ein Test von Oliver Nickel

  1. Audioprobleme Knackgeräusche beim neuen Macbook Pro 16 Zoll
  2. iFixit Kleber und Nieten im neuen Macbook Pro 16 Zoll
  3. Macbook Pro Apple gibt fehlerhafte Butterfly-Tastatur auf

Männer und Frauen in der IT: Gibt es wirklich Chancengleichheit in Deutschland?
Männer und Frauen in der IT
Gibt es wirklich Chancengleichheit in Deutschland?

Der Mann arbeitet, die Frau macht den Haushalt und zieht die Kinder groß - ein Bild aus längst vergangenen westdeutschen Zeiten? Nein, zeigen uns die aktuellen Zahlen. Nach wie vor sind die Rollenbilder stark, und das hat auch Auswirkungen auf den Anteil von Frauen in der IT-Branche.
Von Valerie Lux

  1. HR-Analytics Weshalb Mitarbeiter kündigen
  2. Frauen in der IT Ist Logik von Natur aus Männersache?
  3. IT-Jobs Gibt es den Fachkräftemangel wirklich?

    •  /