Markt + Trends | Open Source | iX

OpenBSD 6.5 bringt den neuen Stack-Protector RETGUARD

Mit OpenBSD 6.5 veröffentlichte das Team um Theo de Raadt die 46. Ausgabe des auf Sicherheit ausgelegten freien BSDs. In der schützt die neue Funktion RETGUARD ARM64 und amd64 vor ROP-Angriffen (Return-oriented Programming, siehe unten). Zu den besonderen Neuerungen zählt eine stabil synchronisierte Systemuhr in KVM-Umgebungen. Mit unwind(8) gibt es einen zusätzlichen lokalen DNS Resolver, der in wechselnden WLAN-Netzen und bei fehlerhaften DNS-Servern helfen soll. Derzeit programmieren die Entwickler mit OpenRSYNC den als unsicher und überaltert geltenden Code von rsync von Grund auf neu. Die halbjährlichen Upgrades soll ein spezieller /bsd.upgrade-Kernel vereinfachen. Auch die Sicherheitsfunktionen von unveil(2) sowie pledge(2) wurden deutlich erweitert. OpenBSD 6.5 enthält bereits das erst vor wenigen Tagen fertiggestellte OpenSSH 8.0. Dessen Liste an neuen Funktionen und Bugfixes ist lang, daher ist im laufenden Betrieb wohl mit Problemen zu rechnen.

OpenBSD-Projekt

W^X (Write XOR Execute) verhindert das Ausführen von Code in als Daten deklarierten Speicherbereichen. Pfiffige Angreifer nutzen daher ROP für ihre Zwecke. Aus Fragmenten bestehenden Programmcodes, die auf einen Return-Befehl enden (RET, 0xC3), stricken sie gleich einer Patchwork-Decke ihre Schadroutinen zusammen und umgehen so W^X.