Abo
  • Services:

Security: Sicherheitslücke in Red Star OS entdeckt

In der nordkoreanischen Linux-Distribution Red Star OS 3.0 haben IT-Sicherheitsforscher eine erste Sicherheitslücke entdeckt. Beim Laden eines Treibers können Root-Rechte am System erlangt werden.

Artikel veröffentlicht am ,
Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen.
Eine fehlerhafte Rechtevergabe in Red Star OS 3.0 kann dazu genutzt werden, Root-Rechte zu erlangen. (Bild: Screenshot: Golem.de)

Ein Fehler in der Rechtevergabe von Udev-Regeln erlaubt es einem nicht privilegierten lokalen Benutzer, administrative Rechte in der nordkoreanischen Linux-Distribution Red Star OS 3.0 zu erlangen. Die Sicherheitslücke kann ausgenutzt werden, wenn Laser-Jet-Drucker der 1000er Serie von Hewlett Packard eingeschlossen werden.

Stellenmarkt
  1. M-net Telekommunikations GmbH, München
  2. McService GmbH, München

Der IT-Sicherheitsforscher David Jorm hat die Lücke in der Mailingliste oss-security bekanntgegeben. Da die Konfigurationsdatei 85-hplj10xx.rules von allen Benutzern editiert werden darf, kann ihr beispielsweise eine Run-Regel hinzugefügt werden, die beliebige Befehle ausführt. Sie werden von dem Hotplugging-Dämon Udev dann mit Root-Rechten ausgeführt, sobald ein entsprechender Drucker angeschlossen wird. Da die Datei von allen editiert werden kann, könnte sie so manipuliert werden, dass auch andere USB-Geräte die Schwachstelle aktivieren. Der Fehler wurde in Red Star OS 3.0 entdeckt, der nach bisherigen Erkenntnissen aktuellen Version der Linux-Distribution aus Nordkorea.

Version 2.0 hat ebenfalls eine Lücke

Eine noch gravierendere Lücke hat Jorm in der Vorgängerversion Red Star OS 2.0 entdeckt. Dort ist das Startskript /etc/rc.d/rc.sysinit ebenfalls von allen Nutzern editierbar. Dadurch könnten Nutzer ebenfalls beliebige Befehle einfügen, die gleich beim Systemstart ausgeführt werden. Beide Fehler können jedoch nur von lokalen Benutzern ausgenutzt werden.

Red Star OS 3.0 gibt es seit 2013, in die Schlagzeilen geriet es Ende des vergangenen Jahres durch einen Vortrag des Datenexperten Will Scott auf dem Hacker-Congress 31C3. Kurz darauf tauchte ein Installations-Image im Netz auf. Golem.de hat sich die nordkoreanische Linux-Distribution genauer angesehen. Wie verbreitet Red Star OS in Nordkorea tatsächlich ist, lässt sich aktuell nicht feststellen.



Anzeige
Top-Angebote
  1. 127,90€ (effektiver Preis für SSD 107,90€)
  2. (u. a. Battlefield 5, FIFA 19, Battlefront 2, NHL 19)
  3. (u. a. FIFA 19, New Super Mario Bros. U Deluxe, Donkey Kong Contry)
  4. (aktuell u. a. Ryzen 7 2700X 299€, Playstation-Store-Guthaben für 18,40€ statt 20€ oder...

Dwalinn 12. Jan 2015

lol war das ein Scherz? Jedesmal wenn Windows eine Lücke hat schreien doch alle die...

elgooG 12. Jan 2015

Red Star OS wurde für ein paar Cent inoffiziell unterm Ladentisch gekauft und auch sonst...

Sarkastius 11. Jan 2015

Solange bei MS die die Programmierer der Geheimdienste mit in der Entwicklung sitzen...

vali 10. Jan 2015

Das ist Schwachsinn, denn die ganzen Rechner, die mit diesem Betriebssystem laufen, vom...

MarioWario 10. Jan 2015

gute Menschen die einem bei Codefehlern helfen - hoffentlich nehmen die Genossen das dem...


Folgen Sie uns
       


Padrone-Maus-Ring angesehen (CES 2019)

Der Ring von Padrone soll die Maus überflüssig machen - wir haben ihn uns auf der CES 2019 angesehen.

Padrone-Maus-Ring angesehen (CES 2019) Video aufrufen
WLAN-Tracking und Datenschutz: Ist das Tracken von Nutzern übers Smartphone legal?
WLAN-Tracking und Datenschutz
Ist das Tracken von Nutzern übers Smartphone legal?

Unternehmen tracken das Verhalten von Nutzern nicht nur beim Surfen im Internet, sondern per WLAN auch im echten Leben: im Supermarkt, im Hotel - und selbst auf der Straße. Ob sie das dürfen, ist juristisch mehr als fraglich.
Eine Analyse von Harald Büring

  1. Gefahr für Werbenetzwerke Wie legal ist das Tracking von Online-Nutzern?
  2. Landtagswahlen in Bayern und Hessen Tracker im Wahl-O-Mat der bpb-Medienpartner
  3. Tracking Facebook wechselt zu First-Party-Cookie

Elektroauto: Eine Branche vor der Zerreißprobe
Elektroauto
Eine Branche vor der Zerreißprobe

2019 wird ein spannendes Jahr für die Elektromobilität. Politik und Autoindustrie stehen in diesem Jahr vor Entwicklungen, die über die Zukunft bestimmen. Doch noch ist die Richtung unklar.
Eine Analyse von Dirk Kunde

  1. Softwarefehler Lime-Tretroller werfen Fahrer ab
  2. Hyundai Das Elektroauto soll automatisiert parken und laden
  3. Kalifornien Ab 2029 müssen Stadtbusse elektrisch fahren

IT-Sicherheit: 12 Lehren aus dem Politiker-Hack
IT-Sicherheit
12 Lehren aus dem Politiker-Hack

Ein polizeibekanntes Skriptkiddie hat offenbar jahrelang unbemerkt Politiker und Prominente ausspähen können und deren Daten veröffentlicht. Welche Konsequenzen sollten für die Sicherheit von Daten aus dem Datenleak gezogen werden?
Eine Analyse von Friedhelm Greis

  1. Datenleak Bundestagsabgeordnete sind Zwei-Faktor-Muffel
  2. Datenleak Telekom und Politiker wollen härtere Strafen für Hacker
  3. Datenleak BSI soll Frühwarnsystem für Hackerangriffe aufbauen

    •  /