Exploit für Lücke im Linux-Kernel veröffentlicht

Ein Sicherheitsforscher hat einen Zero-Day-Exploit für eine Lücke im Linux-Kernel veröffentlicht. Er umgeht Abwehrmechanismen des Betriebssystems.

Brad Spengler postete den Code auf der Mailing-Liste „Dailydave“. Ihm zufolge existiert die Lücke in den Linux-Versionen 2.6.30 und 2.6.18, sowohl als 32-Bit- als auch als 64-Bit-Version. Der Kernel 2.6.18 kommt in Red Hat Enterprise Linux 5 zum Einsatz.

Der Exploit umgeht den Schutz vor Derefenzierung von Null-Pointern. Dies könnte einem Angreifer erlauben, Root-Zugriff auf ein System zu bekommen, schreibt Spengler. Mittels Arbitrary Code Execution ließen sich außerdem Sicherheitsfeatures wie Auditing, Security-Enhanced Linux (SELinux), AppArmor und Linux Security Module so abstellen, dass außerhalb der Kernels laufende Anwendungen immer noch glaubten, SELinux sei im Betrieb.

Spengler schreibt sogar: „Wenn SELinux läuft, schwächt das die Systemsicherheit für diese Art von Exploit.“ SELinux ist eigentlich eine Sammlung an Modifikationen, die Sicherheitsrichtlinien zur Verfügung stellen und so den Kernel härten sollen.

Ein Forscher des Sans Institute, Bojan Zdrnja, nennt den Exploit „faszinierend“. Der Exploit nutze den Compiler, um eine Schwachstelle einzuführen, die es im Quellcode gar nicht gebe, schreibt er in seinem Blog.

Spengler empfiehlt Administratoren als Workaround, den Kernel mit der Option -fno-delete-null-pointer-checks zu kompilieren.