Weiterer Fehler in Linux-Sicherheitserweiterung grsecurity
Die Entwickler von grsecurity, einem Open-Source-Projekt zur Erweiterung der Sicherheitsfunktionen von Linux, weisen auf eine LĂĽcke im RBAC-System (Role Based Access Control) hin.
Die Entwickler von grsecurity, einem Open-Source-Projekt zur Erweiterung der Sicherheitsfunktionen von Linux, weisen auf eine Lücke im RBAC-System (Role Based Access Control) hin. Durch einen Fehler vergibt das System praktisch auf jedes Subjekt das O-Flag, womit etwa der Nutzer Root durch LD_Preload oder ptrace die Rechte jedes beliebigen Prozesses erhält. Zwar hat der Nutzer Root auf normalen Systemen ohnehin uneingeschränkten Zugriff, mit RBAC lassen sich aber auch seine Zugriffsrechte einschränken.
Subjects sind nach der Lesart von RBAC alle Prozesse, während etwa Dateien Objects sind. Mittels Access Control Lists (ACLs) lässt sich so beispielsweise festlegen, welcher Prozess auf welche Dateien zugreifen darf. Durch die Lücke lässt sich dieser Schutz aushebeln.
Der Fehler ist in 2.1.3 fĂĽr die Kernel-Versionen 2.4.29 und 2.6.11 behoben. Die Entwickler stufen das Update selbst als kritisch ein und empfehlen allen Anwendern von RBAC auf die neue Version zu wechseln. Damit verzeichnet das grsecurity-Projekt den zweiten RĂĽckschlag innerhalb weniger Tage. KĂĽrzlich war eine kritische Schwachstelle in PaX, dem in grsecurity integrierten Schutz vor Buffer Overflows, entdeckt worden.
Neben grsecurity bieten noch Projekte wie LIDS und SELinux besondere Schutzfunktionen für Linux-Systeme. Teile des ursprünglich von der NSA entwickelten SELinux sind bereits standardmäßig im 2.6-Kernel enthalten, aber zumeist noch nicht oder nur teilweise aktiviert, wie etwa unter Fedora und Red Hat.
Siehe dazu auch: (dab)
- grsecurity 2.1.3 released CRITICAL UPDATE FOR RBAC USERS von grsecurity
