Abo
  • Services:

X.ORG: Wieder jahrzehntealte Lücken im X-Server

Der X-Server ist von 13 Sicherheitslücken betroffen, die sich auf verschiedene Implementierungen auswirken können. Die älteste reicht fast 30 Jahre in die erste Version von X11 zurück. Andeutungen auf die Fehler gab es bereits auf dem 30C3 vor einem Jahr.

Artikel veröffentlicht am ,
Ilja van Sprundel findet weitere uralte Lücken in X.org.
Ilja van Sprundel findet weitere uralte Lücken in X.org. (Bild: X.org)

"X-Sicherheit: Es ist schlimmer, als es aussieht" heißt der Vortrag des Sicherheitsforschers Ilja van Sprundel, den er vergangenes Jahr auf dem 30C3 gehalten hat. Exakte Details dazu hat der Angestellte von IOActive aber nicht bekanntgegeben, so dass die teils sehr alten Lücken nun haben behoben werden können, wie das X.org-Team mitteilt.

Stellenmarkt
  1. SCISYS Deutschland GmbH, Bochum
  2. Universität Passau, Passau

Die Bugs erlauben den Zugriff auf nicht initialisierten Speicher sowie das Überschreiben von beliebigem Speicher. Das kann für einen Denial-of-Service ausgenutzt werden, was einen Absturz des X-Servers hervorruft. Zudem könnten die Lücken auch zum Ausführen von Schadcode verwendet werden.

Risiko der Lücken schwer abzuschätzen

Die Schwere dieser Angriffsvektoren ist aber von der genauen Konfiguration des laufenden X-Servers abhängig. Entscheidend ist etwa, ob der Server mit oder ohne Root-Rechten läuft, ob Netzwerk-Clients erlaubt sind oder nur lokale Clients sowie ob und wie die betroffenen Erweiterungen eingesetzt werden.

Letzteres gilt vor allem für indirektes Rendering per GLX. Dabei wird das OpenGL-Rendering statt direkt von der GPU vom X-Server selbst übernommen. Dies betrifft Code, der ursprünglich von SGI entwickelt wurde und durch eine Freigabe als Open Source vom freien X-Server übertragen worden ist. Davon betroffen sein könnten aber auch sämtliche kommerzielle Implementierungen, die diesen Code von SGI verwenden.

Wieder uralte Fehler gefunden

Bereits im vergangenen Jahr fand van Sprundel diverse Lücken im X.org X-Server, darauf folgte ein Patch für 20 Jahre alte Lücken im Jahr 2013 und für eine noch ältere in diesem Frühjahr. Die älteste der nun gefundenen Lücken ist wahrscheinlich seit der ersten Veröffentlichung von X11 überhaupt vorhanden - seit 1987.

Die Fehler sollen mit dem X-Server 1.17, der für das neue Jahr geplant ist, sowie mit dem Update 1.16.3 für die aktuell gepflegte Version offiziell behoben werden. Für letztere steht bereits ein Release Candidate bereit. Distributionen und diejenigen, die den Code selbst kompilieren, können die Patches per Git selbst einspielen.



Anzeige
Spiele-Angebote
  1. 59,99€ mit Vorbesteller-Preisgarantie
  2. 16,99€
  3. 54,99€ mit Vorbesteller-Preisgarantie

Ass Bestos 14. Dez 2014

hat er in irgendeinerweise geprollt, getrollt, smilies verwendet? wieso kannst du nicht...

Nebucatnetzer 11. Dez 2014

Dann versagt so ziemlich jede Software Firma. Wurde nicht grad letztens ein Windows Bug...

attitudinized 10. Dez 2014

Mir fehlt da jetzt etwas die Kreativität wie man das als Angriffsvektor verwenden kann...


Folgen Sie uns
       


Asus ROG Phone - Hands On auf der Computex 2018

Das ROG ist ein interessantes Konzept, das sich schon beim an Gamer gerichteten Design von anderen Telefonen unterscheidet. Außergewöhnlich sind die vielen Zubehörteile: darunter ein Handheld-Adapter, ein Desktop-Dock, ein Anstecklüfter und ein Controllermodul. Wir haben es uns angeschaut.

Asus ROG Phone - Hands On auf der Computex 2018 Video aufrufen
Mars: Die Staubstürme des roten Planeten
Mars
Die Staubstürme des roten Planeten

Der Mars-Rover Opportunity ist nicht die erste Mission, die unter Staubstürmen leidet. Aber zumindest sind sie inzwischen viel besser verstanden als in der Frühzeit der Marsforschung.
Von Frank Wunderlich-Pfeiffer

  1. Nasa Dunkle Nacht im Staubsturm auf dem Mars
  2. Mars Insight Ein Marslander ist nicht genug

IT-Jobs: Fünf neue Mitarbeiter in fünf Wochen?
IT-Jobs
Fünf neue Mitarbeiter in fünf Wochen?

Startups müssen oft kurzfristig viele Stellen besetzen. Wir waren bei dem Berliner Unternehmen Next Big Thing dabei, als es auf einen Schlag Bewerber für fünf Jobs suchte.
Ein Bericht von Juliane Gringer

  1. Frauen in IT-Berufen Programmierte Klischees
  2. Bitkom Research Höherer Frauenanteil in der deutschen IT-Branche
  3. Recruiting IT-Experten brauchen harte Fakten

Deutsche Siri auf dem Homepod im Test: Amazon und Google können sich entspannt zurücklehnen
Deutsche Siri auf dem Homepod im Test
Amazon und Google können sich entspannt zurücklehnen

In diesem Monat kommt der dritte digitale Assistent auf einem smarten Lautsprecher nach Deutschland: Siri. Wir haben uns angehört, was die deutsche Version auf dem Homepod leistet.
Ein Test von Ingo Pakalski

  1. Patentantrag von Apple Neues Verfahren könnte Siri schlauer machen
  2. Siri vs. Google Assistant Apple schnappt sich Googles KI-Chefentwickler
  3. Digitaler Assistent Apple will Siri verbessern

    •  /