Xorg-Sammelupdate schließt wieder Uralt-Lücken
Nach einem Jahr Arbeit haben die Entwickler der X.Org Foundation Patches für 13 Sicherheitslücken im X-Server veröffentlicht. Eine davon ist satte 27 Jahre alt.
(Bild: Freeimages)
- Fabian A. Scherschel
Sicherheitsforscher Ilja van Sprundel hat eine ganze Reihe von Sicherheitslücken im X-Server gefunden. Viele der Lücken hatte er bei einem Vortrag zur Sicherheit der Software beim 30C3 im letzten Jahr bereits besprochen, ohne Details zu liefern. Jetzt hat die X.Org Foundation nach langer Zusammenarbeit mit van Sprundel Patches für die Lücken gebündelt veröffentlicht.
Ein Angreifer könnte die Sicherheitslücken missbrauchen, um den X-Server-Prozess abstürzen zu lassen oder um beliebigen Code auszuführen. Je nach Konfiguration des Systems wird dieser Code mit Nutzer- oder Root-Rechten ausgeführt und kann lokal oder aus der Ferne eingeschleust werden.
Bei den Sicherheitslücken handelt es sich durchgehend um Speicherverwaltungsprobleme. Ein Angreifer kann sie missbrauchen, um auf nicht initialisierten Speicher zuzugreifen oder beliebigen Speicher zu überschreiben. Insgesamt listet die X.Org Foundation 13 Lücken mit entsprechenden CVE-Nummern und 37 einzelne Patches.
Updates werden bereits verteilt
Die Entwickler wollen die Fehler mit der Veröffentlichung der Version 1.17 des X-Servers beheben. Dies ist für Anfang nächsten Jahres geplant. Die aktuelle Ausgabe des X-Servers soll zeitnah ein Update auf Version 1.16.3 erhalten. Die meisten großen Linux-Distributionen haben bereits damit begonnen, die von ihnen verteilten X-Server-Pakete zu patchen und entsprechende Updates auszuliefern.
Wie gravierend die Lücken ein auf einem entsprechenden System sind, ist deswegen nur schwer abzusehen. Das hängt unter anderem davon ab, ob der X-Server mit Root-Rechten ausgeführt wird, wie es bei nahezu allen Linux-Distributionen für PCs der Fall ist und ob man sich aus dem Netzwerk anmelden kann. Welche der Extensions für den Server eingesetzt werden, fällt ebenfalls ins Gewicht, da manche Lücken so etwa einem Angreifer gar nicht zur Verfügung stehen. Etwa wenn die GLX-Erweiterung nicht genutzt wird.
Gruselkabinett der Uralt-Lücken
Die Commits zeigen, dass an den Patches seit Januar gearbeitet wird. Manche der Lücken sind Jahrzehnte alt. Die älteste scheint von 1987 zu stammen und ist damit stolze 27 Jahre alt. Die GLX-Schwachstelle stammt noch aus dem Beispielcode für indirektes GLX-Rendering von Silicon Graphics – dieser wurde seinerzeit 1999 veröffentlicht.
Es ist bei weitem nicht das erste Mal, dass der X-Server Opfer uralter Lücken wird. Bereits im letzten Jahr fand van Sprundel eine zwanzig Jahre alte Lücke, die im Oktober des selben Jahres geschlossen wurde. Auch in diesem Januar wurde eine weitere Lücke gestopft. Sie war 23 Jahre lang unentdeckt geblieben. (fab)
