Drei schwerwiegende Löcher im Linux-Kernel gestopft

Entwickler haben drei Sicherheitslücken im Linux-Kernel geschlossen. Sie stecken unter anderem in den Distributionen Ubuntu, Debian, Fedora und Red Hat Enterprise Linux 7. Von einer Anfälligkeit geht ein hohes Risiko aus. Sie erlaubt unter Umständen das Einschleusen und Ausführen von Schadcode.

Entdeckt wurde die Schwachstelle mit der Kennung CVE-2016-8655 bereits im Oktober vom Sicherheitsforscher Philip Pettersson, der die Lücke wiederum Ende November öffentlich gemacht hat. Ein Angreifer kann in der Kernelfunktion packet_set_ring eine sogenannte Race Condition auslösen. Sie tritt auf, wenn ein System versucht, zwei oder mehr Befehle gleichzeitig statt nacheinander auszuführen.

Der Fehler lässt sich durch lokale Nutzer, und bei virtuellen und cloudbasierten Linux-Instanzen auch durch entfernte Angreifer ausnutzen. Sie können einen Absturz des Systems auslösen oder beliebigen Code mit Root-Rechten ausführen. Dafür wird allerdings ein nichtprivilegierter Namensraum benötigt – eine Funktion, die Pettersson zufolge bei allen Linux-Distributionen aufgrund bekannter Sicherheitsmängel ab Werk abgeschaltet sein sollte.

Unter Ubuntu 16.04 war Pettersson in der Lage, mithilfe der Schwachstelle eine Root Shell zu öffnen. Dabei umging er die Sicherheitsfunktionen Supervisor Mode Execution Protection (SMEP) und Supervisor Mode Access Prevention (SMAP).

Die zweite Anfälligkeit (CVE-2016-6480) löst ebenfalls eine Race Condition aus, und zwar in der Funktion ioctl_send_fib. Betroffene Geräte sind demnach anfällig für Denial-of-Service-Angriffe. Der Fehler selbst steckt im Treiber für den Adaptec AAC-Raid-Controller. Dem Bugtracker Bugzilla zufolge ist er bereits seit April 2016 bekannt.

Die dritte Kernellücke (CVE-2016-6828) wurde im August entdeckt. Sie macht die Kernelversionen bis einschließlich 4.8 anfällig für eine Remotecodeausführung oder einen Systemabsturz. Betroffen sind bestimmte TCP-Funktionen des Networking-Subsystems des Linux-Kernels.

[mit Material von Steven J. Vaughan-Nichols, ZDNet.com]

Tipp: Wie gut kennen Sie sich mit Open-Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.