Huge Dirty Cow: Linux-Patch erneut gepatcht

Moritz Rosenfeld on December 6, 2017 - 5:14 am in OSS

[ad_1]

Sicherheitsforscher haben im “Dirty-Cow”-Patch von vergangenem Jahr einen Bug entdeckt, der unbefugte Speicherzugriffe ermöglicht. Nun wurde der geflickte Code noch einmal nachgebessert.

Der im Oktober vergangenen Jahres von den Linux-Kernelentwicklern veröffentlichte Patch für die Sicherheitslücke “Dirty Cow” hat diese zwar geschlossen, dafür jedoch einen neuen Bug in den Kernel-Code geschleust. Das haben Forscher der IT-Sicherheitsfirma Bindecy während einer Analyse des Dirty-Cow-Patches herausgefunden. Im Rahmen eines Proof-of-Concept (PoC) gelang es ihnen, schreibend auf Speicherbereiche privilegierter Prozesse zuzugreifen, die eigentlich als “read-only” markiert waren – und diese damit zum Absturz zu bringen.

Die ursprüngliche Dirty-Cow-Lücke (CVE-2016-5195) ermöglichte es Angreifern nicht nur Dateien zu überschreiben, sondern in der Folge auch Root-Rechte zu erlangen. Letzteres trifft auf die neue, von den Forschern Huge Dirty Cow (CVE-2017-1000405) getaufte Schwachstelle nicht zu. Auch wurden bislang keine realen Angriffe bekannt, die auf ihr basieren.

Große Kühe – große Speicherseiten

Die Ausnutzbarkeit von Huge Dirty Cow beschränkt sich laut Bindecy auf die Manipulation so genannter Transparent Huge Pages (THP). Diese dienen der flexiblen und effizienten Verwaltung großer Speicherseiten und wurden mit der Kernel-Version 2.6.38 eingeführt. Anfällig für Huge Dirty Cow seien in der Konsequenz alle Linux-Distributionen, die auf die Kernel-Versionen 2.6.38 bis einschließlich der aktuellen 4.14 aufsetzen, also THP unterstützen.

Es gibt aber Ausnahmen: Gegenüber der IT-News-Webseite Threatpost sagte einer der Forscher, dass Android-Systeme grundsätzlich nicht betroffen seien. Der Grund hierfür sei das dort standardmäßig deaktivierte THP-Subsystem. Laut einem offiziellen Statement der Red-Hat-Entwickler sind außerdem auch Red Hat Enterprise Linux 5, 6, 7 und MRG 2 immun gegen Huge Dirty Cow.

Kernel-Patch steht bereit

Das Bindecy-Team hat die Linux-Kernelentwickler eine Woche vor Veröffentlichung ihres PoC über die Sicherheitslücke informiert. Die reagierten innerhalb weniger Tage mit einem Bugfix, der den Kernel gegen Angriffe absichert. Nach dem holperigen Patch-Prozess der ursprünglichen Dirty-Cow-Lücke bleibt nun zu hoffen, dass sich mit dem aktuellen Patch keine neuen Fehler eingeschlichen haben.

Interessierte können sich die Änderungen im Kernel-Code ebenso wie den PoC von Bindecy auf GitHub anschauen.

[UPDATE 05.12.2017 13:37 Uhr]: Kurz nach Veröffentlichung dieser Meldung sind die bei Kernel.org erhältlichen Linux-Versionen 4.14.4, 4.9.67, 4.4.104 und 3.18.86 erschienen, die die Korrektur enthalten. (ovw)

[ad_2]