Qualys hat eine schwerwiegende Sicherheitslücke entdeckt, die nahezu alle Linux-Distributionen betrifft. Die als Looney Tunables bezeichnete Anfälligkeit steckt in der GNU-C-Bibliothek glibc und führt zu einem Pufferüberlauf. Im zehnstufigen Common Vulnerability Scoring System ist sie mit 7,8 Punkten bewertet.
Den Forschern des Qualys Threat Research Unit ist es gelungen, die Schwachstelle auszunutzen und eine lokale Ausweitung von Benutzerrechten zu erreichen, um Root-Rechte zu erhalten. Ihren Angriff testeten sie erfolgreich mit Standardinstallationen von Fedora 37 und 38, Ubuntu 22.04 und 23.04 sowie Debian 12 und 13.
Die Sicherheitslücke ermöglicht es, ohne großen Aufwand die Kontrolle über ein Linux-System als Root-Nutzer zu übernehmen. Die Forscher merkten an, dass ihre Methode mit praktisch alle SUID-Root-Programmen funktioniere, die ab Werk unter Linux installiert seien.
Zudem fand Qualys heraus, dass der Fehler bereits seit April 2021 vorhanden ist. Er wurde mit der Version 2.34 von glibc eingeführt. Der Pufferüberlauf steckt im dynamischen Loader Id.so der Bibliothek, was wiederum eine wichtige Komponente für das Ausführen von Programmen auf Linux-Systemen ist. Ausgelöst wird der Bug bei der Verarbeitung der Variable GLIBC_Tunables.
„Diese Umgebungsvariable, die der Feinabstimmung und Optimierung von mit der glibc verknüpften Anwendungen dient, ist ein wichtiges Werkzeug für Entwickler und Systemadministratoren. Ihr Missbrauch oder ihre Ausnutzung hat weitreichende Auswirkungen auf die Systemleistung, Zuverlässigkeit und Sicherheit“, kommentiert Qualys. „Die Leichtigkeit, mit der der Pufferüberlauf in einen reinen Datenangriff umgewandelt werden kann, könnte zahllose Systeme gefährden, insbesondere angesichts der umfangreichen Verwendung der glibc in allen Linux-Distributionen.“
Updates liegen bereits für Red Hat, Ubuntu, Debian und Gentoo vor. Auch der Upstream glibc-Code wurde schon gepatcht. Allerdings liegt inzwischen auch ein Exploit vor, mit dem sich die Schwachstelle ausnutzen lässt.
Über drei Millionen Angriffsversuche unter Deckmantel von Minecraft / YouTube-Star Mr. Beast als prominenter Köder
Die Prognose für die Anfahrt bezieht das Verkehrsaufkommen, die Stellplatzverfügbarkeit sowie die Lenk- und Ruhezeiten…
Unternehmen können mit Casebase Portfolio an Daten- und KI-Anwendungsfällen organisieren.
Smart-TV oder Saugroboter: Nutzer schützen ihre smarten Heimgeräte zu wenig, zeigt eine repräsentative BSI-Umfrage.
Im Benchmark erreicht der neue Core Ultra 200V eine Laufzeit von 14 Stunden. Intel tritt…
Jeder dritte hält sich damit für unsichtbar. Wie widersprüchlich unser Datenschutzverhalten oft ist, zeigt eine…