Neuer Linux-Exploit veröffentlicht [Update]
Ein 0day-Exploit für Linux Kernel 2.6 verschafft angemeldeten Benutzern Root-Rechte; weitere Exploits könnten bereits im Umlauf sein.
Auf der Mailingliste Full Disclosure wurde eine Demo zu einer neuen Schwachstelle im Linux-Kernel veröffentlicht, die es einem angemeldeten Benutzer ermöglicht, Root-Rechte auf dem System zu erlangen. Sie nutzt eine Race-Condition – also fehlende Absicherung gegen konkurrierende Zugriffe auf eine Ressource – im /proc-Filesystem aus. Laut Internet Storm Center betrifft die Lücke alle 2.6er-Kernel-Versionen. Die Demo selbst benötigt zwar Unterstützung für das veraltete Binärformat a.out, die Lücke ließe sich jedoch selbst dann ausnutzen, wenn CONFIG_BINFMT_AOUT nicht gesetzt sei. Die Sicherheitserweiterung SELinux, die in RedHat Enterprise Linux 4 zum Einsatz kommt, stoppe anscheinend den Exploit ebenfalls.
Derartige lokale Exploits kommen oft zum Einsatz, um sich Administratorrechte auf Systemen zu verschaffen, die von mehreren Anwendern genutzt werden. Mitte der Woche hatten unbekannte Einbrecher eine ähnliche, allerdings bereits gefixte Lücke im Linux-Kern ausgenutzt, um einen Server des Debian-Projekts zu kompromittieren. heise Security lag bereits vor der Veröffentlichung des aktuellen 0day-Exploits ein Hinweis vor, dass sogar eine ganze Reihe weiterer solcher local-root-Exploits im Umlauf sind, die bislang unbekannte Schwachstellen ausnutzen. Das prompte Bekanntwerden einer solchen bestätigt diese Aussage eindrucksvoll.
Update:
Linus Torvalds hat aktualisierte Kernel-Versionen 2.6.17.5 und 2.6.16.25 veröffentlicht, die die "hässliche /proc Lücke" schliessen sollen.
Siehe dazu auch: (ju)
- Linux kernel 0day - dynamite inside, don't burn your fingers, Posting auf Full Disclsore
- Rollenspiele, Hintergrundartikel zu SELinux & Co auf heise Security
- ChangeLog zu Kernel 2.6.17.5
- ChangeLog zu Kernel 2.6.16.25
