Abo
  • IT-Karriere:

Security: Gefährliche Lücke im Linux-Kernel

Über eine Schwachstelle im Linux-Kernel kann sich ein lokaler Angreifer von einem eingeschränkten Konto Root-Rechte verschaffen. Die Schwachstelle besteht bereits seit mehreren Jahren. Die Lücke wurde klammheimlich geschlossen.

Artikel veröffentlicht am ,
Im Linux-Kernel blieb erneut eine Sicherheitslücke lange unentdeckt.
Im Linux-Kernel blieb erneut eine Sicherheitslücke lange unentdeckt. (Bild: Jerzy Strzelecki/CC-BY 3.0)

Die jetzt bekanntgewordene Sicherheitslücke im Linux-Kernel betrifft alle Versionen von 2.6.37 bis 3.8.8 und ist mehrere Jahre unentdeckt geblieben. Ob der inzwischen veröffentlichte Exploit die Kernel-Entwickler dazu brachte, die Schwachstelle zu patchen oder der Patch Hacker dazu animierte, die noch offene Lücke zu nutzen, lässt sich nicht genau sagen. Fest steht allerdings, dass der Kernel-Entwickler Tommi Rantala die Lücke im April 2013 geschlossen hat - ohne jedoch auf die Sicherheitslücke hinzuweisen. Erst nach der Verbreitung des Exploits wies Canonical-Entwickler Marc Deslauriers auf die Schwachstelle hin, die dann die CVE-Nummer 2013-2094 erhielt.

Stellenmarkt
  1. akquinet AG, Hamburg
  2. Wirecard Service Technologies GmbH, Aschheim bei München

Der Linux-Kernel muss mit der Option CONFIG_PERF_EVENTS kompiliert werden, damit ein Angreifer Root-Rechte über beliebige Speicherbereiche erlangen kann. Welche Distributionen von dem Fehler betroffen sind, ist nicht ganz klar. Das Subsystem für Performance Counters ist zumindest in CentOS standardmäßig aktiviert. Der Exploit zielt auch explizit auf dieses System ab. Vor allem auf Webservern, auf denen zahlreiche nicht privilegierte Dienste im Userspace laufen, könnte die Lücke ausgenutzt werden.

Es ist nicht das erste Mal, dass die Kernel-Entwickler einen Patch eingereicht haben, ohne ihn als Fix für eine Schwachstelle zu deklarieren. Das kritisieren unter anderem der Kernel-Entwickler Eugene Teo und der Verantwortliche für die Kernel-Sicherheit bei Red Hat Kurt Seifried auch in E-Mails an die OSS-Security-Mailingliste. Auch der auf Sicherheitsfragen spezialisierte Kernel-Entwickler Brad Spengler kritisierte die mangelnde Transparenz der Kernel-Hacker und veröffentlichte eine detaillierte Beschreibung der Lücke. Greg Kroah-Hartman weist darauf hin, dass solche Fehler ständig repariert werden und sich nicht immer als Sicherheitslücken identifizieren lassen.

Red Hat hat inzwischen einen Workaround für die Lücke veröffentlicht, der genutzt werden kann, solange die gepatchten Versionen des Linux-Kernels noch nicht in Umlauf sind. Unter Ubuntu ist bereits ein Kernel-Update erschienen.



Anzeige
Hardware-Angebote
  1. 199€ + Versand
  2. 399€ (Wert der Spiele rund 212€)
  3. 249€ + Versand
  4. ab 234,90€

George99 17. Mai 2013

Es gab von CentOS auch schon am 14. einen eigenen Patch, bloß der offizielle Patch...

renegade334 17. Mai 2013

... dann habe ich schon gleich gedacht, dass es genügend Trolle sich in Versuchung sehen...

soulflare 17. Mai 2013

Leute, hier wurde überhaupt nichts klammheimlich geschlossen. Der Fehler wurde ganz...

EvilSheep 17. Mai 2013

Du schimpfst hier über einen kleinen Teil der OpenSource Nutzer die sich in Foren...

Kernschmelze 17. Mai 2013

Mit meiem OS X bin ich erst mal aus der gröbsten Schusslinie raus. Aber auch hier kommt...


Folgen Sie uns
       


Huawei P30 Pro - Test

5fach-Teleobjektiv und lichtstarker Sensor - das Huawei P30 Pro hat im Moment die beste Smartphone-Kamera.

Huawei P30 Pro - Test Video aufrufen
TES Blades im Test: Tolles Tamriel trollt
TES Blades im Test
Tolles Tamriel trollt

In jedem The Elder Scrolls verbringe ich viel Zeit in Tamriel, in TES Blades allerdings am Smartphone statt am PC oder an der Konsole. Mich überzeugen Atmosphäre und Kämpfe des Rollenspiels; der Aufbau der Stadt und der Charakter-Fortschritt aber werden geblockt durch kostspielige Trolle.
Ein Test von Marc Sauter

  1. Bethesda TES Blades startet in den Early Access
  2. Bethesda The Elder Scrolls 6 erscheint für nächste Konsolengeneration

Passwort-Richtlinien: Schlechte Passwörter vermeiden
Passwort-Richtlinien
Schlechte Passwörter vermeiden

Groß- und Kleinbuchstaben, mindestens ein Sonderzeichen, aber nicht irgendeins? Viele Passwort-Richtlinien führen dazu, dass Nutzer genervt oder verwirrt sind, aber nicht unbedingt zu sichereren Passwörtern. Wir geben Tipps, wie Entwickler es besser machen können.
Von Hanno Böck

  1. Acutherm Mit Wärmebildkamera und Mikrofon das Passwort erraten
  2. Datenschutz Facebook speicherte Millionen Passwörter im Klartext
  3. Fido-Sticks im Test Endlich schlechte Passwörter

Fitbit Versa Lite im Test: Eher smartes als sportliches Wearable
Fitbit Versa Lite im Test
Eher smartes als sportliches Wearable

Sieht fast aus wie eine Apple Watch, ist aber viel günstiger: Golem.de hat die Versa Lite von Fitbit ausprobiert. Neben den Sport- und Fitnessfunktionen haben uns besonders der Appstore und das Angebot an spaßigen und ernsthaften Anwendungen interessiert.
Von Peter Steinlechner

  1. Smartwatch Fitbit stellt Versa Lite für Einsteiger vor
  2. Inspire Fitbits neues Wearable gibt es nicht im Handel
  3. Charge 3 Fitbit stellt neuen Fitness-Tracker für 150 Euro vor

    •  /