Abo
  • Services:
Anzeige
Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen.
Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen. (Bild: Screenshot: Golem.de)

Security: Sicherheitslücke in Red Star OS entdeckt

Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen.
Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen. (Bild: Screenshot: Golem.de)

In der nordkoreanischen Linux-Distribution Red Star OS 3.0 haben IT-Sicherheitsforscher eine erste Sicherheitslücke entdeckt. Beim Laden eines Treibers können Root-Rechte am System erlangt werden.

Anzeige

Ein Fehler in der Rechtevergabe von Udev-Regeln erlaubt es einem nicht privilegierten lokalen Benutzer, administrative Rechte in der nordkoreanischen Linux-Distribution Red Star OS 3.0 zu erlangen. Die Sicherheitslücke kann ausgenutzt werden, wenn Laser-Jet-Drucker der 1000er Serie von Hewlett Packard eingeschlossen werden.

Der IT-Sicherheitsforscher David Jorm hat die Lücke in der Mailingliste oss-security bekanntgegeben. Da die Konfigurationsdatei 85-hplj10xx.rules von allen Benutzern editiert werden darf, kann ihr beispielsweise eine Run-Regel hinzugefügt werden, die beliebige Befehle ausführt. Sie werden von dem Hotplugging-Dämon Udev dann mit Root-Rechten ausgeführt, sobald ein entsprechender Drucker angeschlossen wird. Da die Datei von allen editiert werden kann, könnte sie so manipuliert werden, dass auch andere USB-Geräte die Schwachstelle aktivieren. Der Fehler wurde in Red Star OS 3.0 entdeckt, der nach bisherigen Erkenntnissen aktuellen Version der Linux-Distribution aus Nordkorea.

Version 2.0 hat ebenfalls eine Lücke

Eine noch gravierendere Lücke hat Jorm in der Vorgängerversion Red Star OS 2.0 entdeckt. Dort ist das Startskript /etc/rc.d/rc.sysinit ebenfalls von allen Nutzern editierbar. Dadurch könnten Nutzer ebenfalls beliebige Befehle einfügen, die gleich beim Systemstart ausgeführt werden. Beide Fehler können jedoch nur von lokalen Benutzern ausgenutzt werden.

Red Star OS 3.0 gibt es seit 2013, in die Schlagzeilen geriet es Ende des vergangenen Jahres durch einen Vortrag des Datenexperten Will Scott auf dem Hacker-Congress 31C3. Kurz darauf tauchte ein Installations-Image im Netz auf. Golem.de hat sich die nordkoreanische Linux-Distribution genauer angesehen. Wie verbreitet Red Star OS in Nordkorea tatsächlich ist, lässt sich aktuell nicht feststellen.


eye home zur Startseite
Dwalinn 12. Jan 2015

lol war das ein Scherz? Jedesmal wenn Windows eine Lücke hat schreien doch alle die...

elgooG 12. Jan 2015

Red Star OS wurde für ein paar Cent inoffiziell unterm Ladentisch gekauft und auch sonst...

Sarkastius 11. Jan 2015

Solange bei MS die die Programmierer der Geheimdienste mit in der Entwicklung sitzen...

vali 10. Jan 2015

Das ist Schwachsinn, denn die ganzen Rechner, die mit diesem Betriebssystem laufen, vom...

MarioWario 10. Jan 2015

gute Menschen die einem bei Codefehlern helfen - hoffentlich nehmen die Genossen das dem...



Anzeige

Stellenmarkt
  1. LexCom Informationssysteme GmbH, München
  2. Transgourmet Deutschland GmbH & Co. OHG, Mainz, Riedstadt
  3. ZytoService Deutschland GmbH, Hamburg
  4. Stadtwerke Augsburg Holding GmbH, Augsburg


Anzeige
Hardware-Angebote
  1. und Destiny 2 gratis erhalten
  2. ab 649,90€

Folgen Sie uns
       


  1. Spieleklassiker

    Mafia digital bei GoG erhältlich

  2. Air-Berlin-Insolvenz

    Bundesbeamte müssen videotelefonieren statt zu fliegen

  3. Fraport

    Autonomer Bus im dichten Verkehr auf dem Flughafen

  4. Mixed Reality

    Microsoft verdoppelt Sichtfeld der Hololens

  5. Nvidia

    Shield TV ohne Controller kostet 200 Euro

  6. Die Woche im Video

    Wegen Krack wie auf Crack!

  7. Windows 10

    Fall Creators Update macht Ryzen schneller

  8. Gesundheitskarte

    T-Systems will Konnektor bald ausliefern

  9. Galaxy Tab Active 2

    Samsungs neues Ruggedized-Tablet kommt mit S-Pen

  10. Jaxa

    Japanische Forscher finden riesige Höhle im Mond



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Essential Phone im Test: Das essenzielle Android-Smartphone hat ein Problem
Essential Phone im Test
Das essenzielle Android-Smartphone hat ein Problem
  1. Teardown Das Essential Phone ist praktisch nicht zu reparieren
  2. Smartphone Essential Phone kommt mit zwei Monaten Verspätung
  3. Andy Rubin Essential gewinnt 300 Millionen US-Dollar Investorengelder

Pixel 2 und Pixel 2 XL im Test: Google fehlt der Mut
Pixel 2 und Pixel 2 XL im Test
Google fehlt der Mut
  1. Pixel Visual Core Googles eigener ISP macht HDR+ schneller
  2. Smartphones Googles Pixel 2 ist in Deutschland besonders teuer
  3. Pixel 2 und Pixel 2 XL im Hands on Googles neue Smartphone-Oberklasse überzeugt

Krack-Angriff: Kein Grund zur Panik
Krack-Angriff
Kein Grund zur Panik
  1. Neue WLAN-Treiber Intel muss WLAN und AMT-Management gegen Krack patchen
  2. Ubiquiti Amplifi und Unifi Erster Consumer-WLAN-Router wird gegen Krack gepatcht
  3. Krack WPA2 ist kaputt, aber nicht gebrochen

  1. Re: Wir kolonialisieren

    muhzilla | 10:30

  2. Re: Bahn schneller machen

    Geistesgegenwart | 10:26

  3. Re: Freeride

    esqe | 10:14

  4. Re: Dann eben nicht

    matzems | 10:11

  5. Re: Das ist eh die Zukunft.

    Bouncy | 10:10


  1. 17:14

  2. 16:25

  3. 15:34

  4. 13:05

  5. 11:59

  6. 09:03

  7. 22:38

  8. 18:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel