Patch für neue Linux-Kernel-Schwachstelle verfügbar

Das Security-Team der Distribution Debian hat einen Patch für eine neu entdeckte Lücke im Linux-Kernel veröffentlicht. Es empfiehlt Nutzern, das Update schnellstmöglich einzuspielen. Es ist bereits die zweite größere Aktualisierung für den Linux-Kernel innerhalb von drei Wochen, nachdem vergangenen Monat Fixes für einen Fehler in der Funktion n_tty_write von Ubuntu, Red Hat und Debian erschienen waren.

Laut Debian geht die neue Schwachstelle mit der Identifikationsnummer CVE-2014-3153 auf einen Bug im Futex-Subsystem des Kernels zurück. Angreifer mit lokalem Zugang könnten die Lücke ausnutzen, um unautorisierte Aktionen durchzuführen.

In der Sicherheitsmitteilung von Debian heißt es dazu: „Pinkie Pie hat einen Fehler im Futex-Subsystem entdeckt, der es einem lokalen Benutzer erlaubt, Ring-0-Zugriff mittels des Futex-Systemaufrufs zu erlangen. Ein Benutzer mit eingeschränkten Rechten könnte die Schwachstelle ausnutzen, um den Kernel abstürzen zu lassen (was zu Denial of Service führt) oder Rechte auszuweiten.“

Der Teenager mit dem Spitznamen „Pinkie Pie“ hat sich inzwischen einen Ruf als fähiger Hacker erworben. Durch elegantes Umgehen der Sicherheitsfunktionen von Googles Browser Chrome hat er seit 2012 auf Hackerwettbewerben mindestens 100.000 Dollar Preisgeld eingestrichen.

Laut Kees Cook, Sicherheitsingenieur für Googles Chrome OS und Ubuntu-Unterstützer, ist die jüngst von Pinkie Pie gefundene Schwachstelle „dringend zu beheben“. Auf Seclists.org führt er aus: „Genauer gesagt kann durch den Futex-Systemaufruf eine Waiter-Variable auf dem Stack hängen bleiben. Durch Manipulation des Stack mittels weiterer Futex-Aufrufe lässt sich die Struktur des Waiter verändern. Wird dieser anschließend wieder aufgeweckt, kann dies in der Ausführung beliebigen Codes im Ring 0 resultieren.“ Der Fehler sei besonders dringend zu beheben, weil Futex innerhalb der meisten Linux-Sandboxes verfügbar sei, die solch Probleme eigentlich verhindern sollen.

Wie der Schweizer Sicherheitsberater Scip anmerkt, kann der Bug sehr leicht ausgenutzt werden. Technische Details oder ein Exploit der Schwachstelle seien bislang nicht bekannt. Eine Aktualisierung für die meisten Linux-Distributionen ist für die kommenden Tage zu erwarten.

[mit Material von Liam Tung, ZDNet.com]

Tipp: Wie gut kennen Sie sich mit Open-Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.