Lokale Root-Rechte durch Schwachstelle in Debians Apache

Über eine etwas ungewöhnliche Sicherheitslücke in Debian-Systemen hat der Anwender Richard Thrippleton auf der Mailing-Liste Full Disclosure berichtet, mit der ein Anwender an Root-Rechte gelangen kann. Dem Fehlerbericht zufolge erhält der Webserver Apache auf Debian-Systemen die Verbindung mit dem Terminal beziehungsweise der Shell aufrecht, von der er gestartet wurde – der Apache wird zur Standardeingabe für die Shell.

Wird ein Apache manuell mittels einer Root-Shell gestartet und die Shell anschließend nicht geschlossen, so kann ein nicht privilegierter Anwender später mit speziellen CGI-Skripten eigene Zeichenketten an das Terminal senden und starten.

Der Fehler wurde in der unter Debian eingesetzten Apache-Version 1.3.34-4 gefunden. Andere Distributionen und der originale Apache enthalten den Fehler nicht. Zwar wird das Problem seit rund einem Monat in der Debian-Fehlerdatenbank diskutiert, einen offiziellen Patch gibt es aber noch nicht. Thrippleton beschwert sich in seinem Fehlerbericht auch darüber, dass die Entwickler sich nicht um die Behebung des Problems kümmern würden. Sarkastisch merkt er in seinem Posting an, dass sie offenbar mit wichtigerer Arbeit beschäftigt seien, wie der Portierung von Debian auf den alten Taschenrechner TI-86.

Bis zu einem Patch hilft es nur, die Shell nach einem Start oder Restart des Apache zu schließen.

Siehe dazu auch:

• Local user to root escalation in apache 1.3.34 (Debian only), Fehlerbericht von Richard Thrippleton

(dab)