Lücke im Linux-Kernel ermöglicht Root-Rechte [Update]

Eine Schwachstelle im 32-Bit-Kompatibilitätsmodus des aktuellen Linux-Kernels (und vorhergehenden Versionen) für 64-Bit-Systeme lässt sich ausnutzen, um an höhere Rechte zu gelangen. Angreifer könnten dies beispielsweise nach einem Einbruch über eine Lücke im Webserver ausnutzen, um mit Root-Rechten das System vollständig unter ihre Kontrolle zu bekommen.

Ursache des Problems ist laut Bericht die fehlende Prüfung der 32-Bit-Call-Emulationsschicht, ob der angeforderte Aufruf auch wirklich in der Syscall-Tabelle vorhanden ist. Nach Angaben des Entdeckers Ben Hawkes lässt sich dies ausnutzen, um eigenen Code mit Kernel-Rechten auszuführen. Ein Exploit kursiert bereits, der in einem kurzen Test der heise-Security-Redaktion auf einem 64-Bit-Ubuntu 10.04 eine Shell mit Root-Rechten öffnete.

Die Kernel-Entwickler haben den Fehler im Repository behoben, die Linux-Distributoren dürften in Kürze neue Kernel veröffentlichen, um die Lücke zu schließen. Bis dahin kann das Abschalten des 32-Bit-ELF-Supports schützen. sofern dieser nicht benötigt wird. Wie man das macht, ist hier beschrieben: Workaround for Ac1db1tch3z exploit. [Update]Das Abschalten des 32-Bit-ELF-Supports schützt nur vor einer anderen, ebenfalls im Kernel entdeckten Schwaschstelle, die sich aber nur für DoS-Attacken ausnutzen lässt.[/Update]

Interessanterweise wurde die Root-Lücke laut Hawkes bereits im Jahre 2007 entdeckt und auch geschlossen. Irgendwann im Jahre 2008 sollen die Kernelentwickler aber den Fix rückgängig gemacht haben, sodass der Kernel abermals verwundbar wurde. Der damalige Exploit soll nur wenige Anpassungen erfordert haben, um die Lücke nun wieder auszunutzen.

(dab)