Original-URL des Artikels: https://www.golem.de/news/linux-sicherheit-ubuntu-bug-ermoeglicht-das-ausfuehren-von-schadcode-1612-125112.html    Veröffentlicht: 16.12.2016 15:45    Kurz-URL: https://glm.io/125112

Linux-Sicherheit

Ubuntu-Bug ermöglicht das Ausführen von Schadcode

Ein gefährlicher Fehler in Ubuntus Crash-Handler Apport ermöglicht es Angreifern, auf einem Zielrechner beliebigen Code aus der Ferne auszuführen. Eine Firma hat dem Entdecker der Lücke über 10.000 Dollar für den Exploit angeboten, dieser zog es jedoch vor, den Fehler an Ubuntu zu melden.

Apport sah für den irischen Programmierer Donncha O'Cearbhaill nach einem tollen Kandidaten für seine Forschung aus. "Es ist standardmäßig installiert und als ein Default File Handler registriert", schreibt er in seinem Blog. Und anders als große Programme wie Firefox, Libreoffice oder Bildbetrachter werde dem Crash-Handler verhältnismäßig wenig Beachtung geschenkt.

O'Cearbhaill beschreibt einen Angriff durch einen Code-Injection-Fehler in CrashDB, bei dem ein Angreifer sein Opfer lediglich dazu bringen muss, eine präparierte Crash-Datei lokal zu öffnen. Weil Ubuntu Dateitypen nicht nur an ihrer Endung erkennen kann, sondern auch an einem Mimetype-Pattern im -Tag, lässt sich der eigentliche Dateityp leicht verschleiern. O'Cearbhaill machte sich zunutze, dass Ubuntu jedweden unbekannten Dateityp mit dem Crash-Handler Apport öffnet, solange der -Tag den Wert "ProblemType:" enthält.

Alle Ubuntu-Versionen seit 12.10 betroffen

Der Code-Injection-Fehler wurde laut seinem Entdecker bereits am 22. August 2012 in Apports Revision 2464 eingeführt. Diese Version ist in allen Ubuntu-Versionen seit 12.10 (Quantal Quetzal) enthalten, einschließlich dem aktuellen Ubuntu 16.10 (Yakkety Yak).



Weil Crash-Dateien für System-Crashes von Apport mit Root-Rechten geöffnet werden, sei es zudem möglich, den Exploit mit einer Rechte-Eskalation zu verbinden. Dazu müsse die präparierte Crash-Datei in /var/crash abgelegt werden und der Nutzer beim Ausführen das Root-Passwort eingeben. Dies dürfte so mancher Ubuntu-Nutzer, der Systemcrashs bereits aus der Vergangenheit kennt, ohne weitere Prüfung tun.

Exploits zu verkaufen, wird immer lukrativer

Mit dem Verkauf dieser Lücke hätte O'Cearbhaill offenbar gut Geld verdienen können. Eine Firma habe ihm mehr als 10.000 US-Dollar für den Exploit angeboten, schreibt er. Als verantwortungsvoller Hacker zog der es jedoch vor, den Fehler an Ubuntu zu melden, damit er behoben werden kann. Auch deswegen verbindet O'Cearbhaill seine Veröffentlichung mit einem dringenden Appell: "Die IT-Industrie hat einen ernsthaften Interessenkonflikt. Es gibt einen riesigen finanziellen Anreiz für Sicherheitsforscher, gefundene Schwachstellen an Exploit-Händler zu verkaufen."

Diese Situation werde auch nicht besser, sondern schlimmer, denn "die finanziellen Anreize werden desto stärker, je sicherer Software wird und je schwieriger es wird, Fehler zu finden." Aus diesem Grund müsse die Industrie Gegenanreize für Forscher schaffen. "Wir können und sollten und nicht darauf verlassen, dass Forscher ihre Arbeit kostenlos für die Softwareindustrie verrichten. So bekommen wir keine Sicherheit." Google und Microsoft gingen hier mit ihren Bug-Bounty-Programmen mit gutem Beispiel voran.

Ubuntu-Team vorbildlich

Das Sicherheitsteam der Linux-Distribution hat O'Cearbhaill zufolge hervorragend reagiert und den Fehler schnell behoben. Bereits am 14. Dezember, nur fünf Tage nach der ersten Kontaktaufnahme, standen korrigierte Versionen von Apport in Ubuntus offiziellen Repositories zum Download bereit.  (jaw)


Verwandte Artikel:
Virtualisierung: Microsoft will einfach nutzbare Ubuntu-Gäste für Hyper-V   
(01.03.2018, https://glm.io/133082 )
Librem 5: Purism-Smartphone bekommt Smartcard für Verschlüsselung   
(09.03.2018, https://glm.io/133248 )
Websicherheit: Verräterische Coredumps im Webverzeichnis   
(15.06.2017, https://glm.io/128377 )
Ubuntu: Apport soll für Server ausgebaut werden   
(18.01.2010, https://glm.io/72470 )
Sicherheitsaudit: US-Heimatschutzministerium nutzt altes Flash und Windows   
(08.03.2018, https://glm.io/133214 )

© 1997–2019 Golem.de, https://www.golem.de/