Abo
  • Services:
Anzeige
Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen.
Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen. (Bild: Screenshot: Golem.de)

Security: Sicherheitslücke in Red Star OS entdeckt

Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen.
Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen. (Bild: Screenshot: Golem.de)

In der nordkoreanischen Linux-Distribution Red Star OS 3.0 haben IT-Sicherheitsforscher eine erste Sicherheitslücke entdeckt. Beim Laden eines Treibers können Root-Rechte am System erlangt werden.

Ein Fehler in der Rechtevergabe von Udev-Regeln erlaubt es einem nicht privilegierten lokalen Benutzer, administrative Rechte in der nordkoreanischen Linux-Distribution Red Star OS 3.0 zu erlangen. Die Sicherheitslücke kann ausgenutzt werden, wenn Laser-Jet-Drucker der 1000er Serie von Hewlett Packard eingeschlossen werden.

Anzeige

Der IT-Sicherheitsforscher David Jorm hat die Lücke in der Mailingliste oss-security bekanntgegeben. Da die Konfigurationsdatei 85-hplj10xx.rules von allen Benutzern editiert werden darf, kann ihr beispielsweise eine Run-Regel hinzugefügt werden, die beliebige Befehle ausführt. Sie werden von dem Hotplugging-Dämon Udev dann mit Root-Rechten ausgeführt, sobald ein entsprechender Drucker angeschlossen wird. Da die Datei von allen editiert werden kann, könnte sie so manipuliert werden, dass auch andere USB-Geräte die Schwachstelle aktivieren. Der Fehler wurde in Red Star OS 3.0 entdeckt, der nach bisherigen Erkenntnissen aktuellen Version der Linux-Distribution aus Nordkorea.

Version 2.0 hat ebenfalls eine Lücke

Eine noch gravierendere Lücke hat Jorm in der Vorgängerversion Red Star OS 2.0 entdeckt. Dort ist das Startskript /etc/rc.d/rc.sysinit ebenfalls von allen Nutzern editierbar. Dadurch könnten Nutzer ebenfalls beliebige Befehle einfügen, die gleich beim Systemstart ausgeführt werden. Beide Fehler können jedoch nur von lokalen Benutzern ausgenutzt werden.

Red Star OS 3.0 gibt es seit 2013, in die Schlagzeilen geriet es Ende des vergangenen Jahres durch einen Vortrag des Datenexperten Will Scott auf dem Hacker-Congress 31C3. Kurz darauf tauchte ein Installations-Image im Netz auf. Golem.de hat sich die nordkoreanische Linux-Distribution genauer angesehen. Wie verbreitet Red Star OS in Nordkorea tatsächlich ist, lässt sich aktuell nicht feststellen.


eye home zur Startseite
Dwalinn 12. Jan 2015

lol war das ein Scherz? Jedesmal wenn Windows eine Lücke hat schreien doch alle die...

elgooG 12. Jan 2015

Red Star OS wurde für ein paar Cent inoffiziell unterm Ladentisch gekauft und auch sonst...

Sarkastius 11. Jan 2015

Solange bei MS die die Programmierer der Geheimdienste mit in der Entwicklung sitzen...

vali 10. Jan 2015

Das ist Schwachsinn, denn die ganzen Rechner, die mit diesem Betriebssystem laufen, vom...

MarioWario 10. Jan 2015

gute Menschen die einem bei Codefehlern helfen - hoffentlich nehmen die Genossen das dem...



Anzeige

Stellenmarkt
  1. Vodafone GmbH, Düsseldorf
  2. Uvex Winter Holding GmbH & Co. KG, Fürth/Bayern
  3. domainfactory GmbH, Ismaning
  4. Knorr-Bremse Systeme für Nutzfahrzeuge GmbH, Schwieberdingen


Anzeige
Top-Angebote
  1. 47,99€
  2. 3,99€ (enthält u. a. 5€-Gutschein für pizza.de, PDF-Download der PC Games 03/18, Leisure Suit...
  3. 39,99€ (Release am 16. März)

Folgen Sie uns
       


  1. Qualcomm

    Bluetooth-Sound wird stromsparender und reaktionsschneller

  2. Quartalsbericht

    Telekom macht 3,5 Milliarden Euro Gewinn

  3. Land Rover Explore im Hands on

    Das Smartphone für extreme Ansprüche

  4. eActros

    Elektrischer Mercedes-Benz-Lkw fährt schon 2018

  5. Snapdragon 5G

    Qualcomm nutzt Samsungs 7LPP-EUV-Fertigung

  6. Retrofit Kit

    Alte MacOS-Versionen für APFS fit machen

  7. Porto Santo

    Renault will Elektroinsel schaffen

  8. LED-Lampen

    Computer machen neues Licht

  9. Signal Foundation

    Whatsapp-Gründer investiert 50 Millionen US-Dollar in Signal

  10. Astronomie

    Amateur beobachtet erstmals die Geburt einer Supernova



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Axel Voss: "Das Leistungsschutzrecht ist nicht die beste Idee"
Axel Voss
"Das Leistungsschutzrecht ist nicht die beste Idee"
  1. Leistungsschutzrecht EU-Ratspräsidentschaft schlägt deutsches Modell vor
  2. Fake News Murdoch fordert von Facebook Sendegebühr für Medien
  3. EU-Urheberrechtsreform Abmahnungen treffen "nur die Dummen"

Sam's Journey im Test: Ein Kaufgrund für den C64
Sam's Journey im Test
Ein Kaufgrund für den C64
  1. THEC64 Mini C64-Emulator erscheint am 29. März in Deutschland
  2. Sam's Journey Neues Kaufspiel für C64 veröffentlicht

Star Trek Discovery: Die verflixte 13. Folge
Star Trek Discovery
Die verflixte 13. Folge
  1. Star Trek Bridge Crew Sternenflotte verlässt Holodeck

  1. Re: Kurzfristig...

    SanderK | 09:57

  2. Re: Jetzt sind Autos endlich leise

    WhiteWisp | 09:56

  3. Re: Telefónica hat womöglich das schlechteste...

    Zeperus | 09:55

  4. Re: Anonymisierte Bewerbungen wünschenswert

    neocron | 09:54

  5. Re: Einfach folgende News-Vertreiber blocken

    Trockenobst | 09:54


  1. 10:14

  2. 09:16

  3. 09:00

  4. 07:44

  5. 07:34

  6. 07:25

  7. 07:14

  8. 07:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel