• IT-Karriere:
  • Services:

Project Zero: NTFS-Treiber ermöglicht Linux-Rootzugriff

Eine fehlerhafte Konfiguration des Userspace-Treibers für NTFS unter Linux ermöglicht einfachen Root-Zugriff. Davon betroffen waren Standardinstallationen von Debian und Ubuntu, Patches stehen dafür inzwischen bereit.

Artikel veröffentlicht am ,
Einige Linux-Distributionen haben Probleme mit ihrem NTFS-Treiber.
Einige Linux-Distributionen haben Probleme mit ihrem NTFS-Treiber. (Bild: Laikolosse/Flickr.com/CC-BY 2.0)

Jann Horn von Googles Project-Zero-Team hat eine Sicherheitslücke in einigen Linux-Distributionen entdeckt, die es vergleichsweise einfach ermöglicht, Code mit Root-Rechten auf den betroffenen Systemen auszuführen. Der Grund für die Lücke (CVE-2017-0358) ist eine Fehlkonfiguration von NTFS-3g, einem Linux-Userspace-Treiber für das Windows-Dateisystem NTFS, der das Kernel-Modul Fuse (Filesystem in Userspace) benutzt.

Stellenmarkt
  1. Alexander Binzel Schweisstechnik GmbH & Co. KG, Buseck
  2. B.i.TEAM Gesellschaft für Softwareberatung mbH, Berlin, Karlsruhe

Der Beschreibung von Horn zufolge sind der Treiber in Debian und Ubuntu standardmäßig installiert, das dazugehörige Programm verwendet das Setuid-Bit für den Root-Nutzer. Wird die Anwendung allerdings unter Systemen gestartet, in denen das Fuse-Modul nicht geladen ist, versucht NTFS-3g, dieses per Modprobe nachzuladen. Angreifer könnten hierbei weitere Optionen an Modprobe leiten und so eigene Kernel-Module nachladen.

Auch wenn - wie bei den betroffenen Systemen üblich - das Fuse-Modul bereits geladen ist, könne über das Verursachen eines weiteren Fehlers das Ausführen von Modprobe wie beschrieben erzwungen werden. Horn stellt Beispielcode bereit, um den Fehler auszunutzen. Darüber hinaus steht weiterer Code bereit, der es ermöglichen soll, den Fehler für einen lokalen Rootzugriff zu nutzen.

Patches, die den Fehler beheben, stehen für Debian und Ubuntu zur Verfügung und sind bereits verteilt worden. Die verschiedenen Community- und Enterprise-Distributionen von Suse sind nicht von dem Problem betroffen. Letzteres gilt auch für Fedora, der Patch wird trotzdem direkt in die Distribution übernommen, um auch die Nutzer zu schützen, die die Setuid-Änderung selbst vornehmen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. ab 1.586,67€ auf Geizhals
  2. 209,92€
  3. ab 589€ neuer Bestpreis auf Geizhals
  4. (u. a. EVGA GeForce RTX 3090 XC3 ULTRA GAMING für 1.879€)

Anonymer Nutzer 14. Feb 2017

auf server systemen sollten keine suid binaries drauf sein. es gibt keinen wirklichen...


Folgen Sie uns
       


    •  /