Log4J: AWS-Patch für Log4Shell ermöglicht Root-Rechte

Der Cloud-Hoster AWS hat schnell auf die Log4J-Lücke reagiert. Forscher konnten nun aber gravierende Fehler in den Hotpatches zeigen.

Artikel veröffentlicht am ,
Java in einem Container sollte eigentlich abgeschottet sein, bei AWS ging das aber schief.
Java in einem Container sollte eigentlich abgeschottet sein, bei AWS ging das aber schief. (Bild: Jakub Porzycki via Reuters Connect)

Schon sehr früh und viel schneller als viele andere Konkurrenten hat der Cloud-Hoster AWS im vergangenen Dezember auf die auch als Log4Shell bekannte Sicherheitslücke (CVE-2021-44228) in der Java-Bibliothek Log4J reagiert und einen sogenannten Hotpatch dafür veröffentlicht. Wie die zu Palo Alto Networks gehörenden Sicherheitsforscher von Unit 42 nun aber berichten, hatte auch dieser Hotpatch selbst wiederum gravierende Sicherheitslücken.

Stellenmarkt
  1. IT Security Analyst (m/w/d)
    Scheidt & Bachmann GmbH, Mönchengladbach
  2. HR Technology Solution Lead (m/f/x)
    Autodoc AG, Berlin
Detailsuche

Verteilt werden die Hotpatches von AWS als RPM oder DEB-Paket über einen Service in Amazon Linux, für Kubernetes-Cluster sowie auch für den eigenen Container-Host Bottlerocket. Die so aufgespielten Patches seien laut Unit 42 aber fehlerhaft und ließen sich dazu missbrauchen, etwa aus Containern auf den Host auszubrechen oder die eigenen Rechte zu erweitern und so Root-Rechte zu erlangen.

Rechteausweitung per Update

Die Ursache für die fehlerhaften Hotpatches von AWS ist dabei leicht zu verstehen. Laut den Forschern hab der Update-Dienst nach Binärdateien mit dem Namen "java" gesucht, um dessen Version abzufragen. Die Binärdatei ist anschließend ein zweites Mal aufgerufen worden, um im laufenden Betrieb das eigentliche Hotpatch-Update einzuspielen. Konkret handelt es sich dabei laut AWS um das Deaktivieren des Java Naming and Directory Interface (JNDI), das für Log4Shell genutzt wird.

Wie Unit 42 nun schreibt, sind beim zweiten Aufruf und dem damit verbundenen Neustart nicht die gleichen Rechte für Java vergeben worden wie vorher. In Containern sind etwa sämtliche Linux Capabilities vergeben worden, auch Seccomp und Cgroups seien nicht mehr genutzt worden, letztlich lief das Programm auch mit Root-Rechten. Auf Hostsystemen lief dies laut der Beschreibung ähnlich, eine Rechteeinschränkung habe nicht stattgefunden.

Golem Karrierewelt
  1. IT-Sicherheit für Webentwickler: virtueller Zwei-Tage-Workshop
    14./15.06.2022, Virtuell
  2. Java EE 8 Komplettkurs: virtueller Fünf-Tage-Workshop
    20.-24.06.2022, virtuell
Weitere IT-Trainings

Für einen erfolgreichen Angriff oder auch Ausbruch aus dem Container reiche es also aus, eine eigene Anwendung mit dem Namen "java" in dem System unterzubringen. Der Update-Dienst erkennt diese dann und startet sie mit den erweiterten Rechten. AWS hat diese Fehler inzwischen behoben und stellt entsprechende Updates bereit.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Cloud Cam
Amazon macht eigene Überwachungskamera unbrauchbar

Eine fünf Jahre alte Überwachungskamera wird noch dieses Jahr von Amazon außer Betrieb genommen. Kunden erhalten Ersatz, der vielen aber nichts nützt.

Cloud Cam: Amazon macht eigene Überwachungskamera unbrauchbar
Artikel
  1. Deutsche Telekom: Spezieller Smartphone-Tarif für Flüchtlinge aus der Ukraine
    Deutsche Telekom
    Spezieller Smartphone-Tarif für Flüchtlinge aus der Ukraine

    Wenn Flüchtlinge aus der Ukraine eine kostenlose SIM-Karte der Deutschen Telekom nutzen, können sie bald in den neuen Tarif wechseln.

  2. 30 Jahre Alone in the Dark: Als der Horror filmreif wurde
    30 Jahre Alone in the Dark
    Als der Horror filmreif wurde

    Alone in the Dark feiert Geburtstag. Das Horrorspiel war ein Meilenstein bei der filmreifen Inszenierung von Games. Wie spielt es sich heute?
    Von Andreas Altenheimer

  3. Update-Installation dauert: Störungen bei Kartenzahlungen im Einzelhandel bleiben
    Update-Installation dauert
    Störungen bei Kartenzahlungen im Einzelhandel bleiben

    Es gibt ein Update, um die Zahlungsstörungen mit Giro- oder Kreditkarte zu beseitigen. Die Verteilung des Updates braucht aber noch Zeit.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Alternate (ASUS VG30VQL1A QHD/200 Hz 329€ statt 399,90€ im Vergleich) • Apple iPhone 12 128 GB 669€ statt 699€ im Vergleich• Prime Video: Filme leihen für 0,99€ • Gigabyte RTX 3080 12 GB ab 1.024€ • Mindstar (u. a. MSI MPG X570 Gaming Plus 119€ statt 158,90€ im Vergleich) [Werbung]
    •  /