Categories: WorkspaceZubehör

Forscher finden 26 USB-Bugs in Linux, Windows, macOS und FreeBSD

Die Forscher Hui Peng von der Purdue University sowie Mathias Payer vom Swiss Federal Institute of Technology in Lausanne haben ein neues Fuzzing-Tool namens USBFuzz entwickelt, um Sicherheitslücken im USB Driver Stack aufzuspüren. Bei ersten Tests fanden sie bereits 26 Bugs, die die Betriebssysteme Windows, macOS, Linux und FreeBSD betreffen.

Fuzzing Tools, auch Fuzzer genannt, sind Anwendungen, mit denen Sicherheitsforscher große Mengen an ungültigen oder zufälligen Daten generieren, um sie als Eingaben an andere Programme zu übergeben. Anschließend untersuchen sie die Reaktion der getesteten Software auf die Eingaben, um Fehler zu finden, die sich unter Umständen für Hackerangriffe ausnutzen lassen.

USBFuzz wiederum ist speziell auf USB-Treiber ausgerichtet. „In erster Linie nutzt USBFuzz ein per Software emuliertes USB-Gerät, um zufällige Gerätedaten an den Treiber weiterzugeben. Da das emulierte USB-Gerät auf Geräte-Level arbeitet, ist die Übertragung auf andere Plattformen sehr einfach“, erklärten die Forscher.

Das erlaubte es ihnen, das Tool nicht nur mit Linux zu testen, sondern auch auf weitere Betriebssystem zu portieren. Konkret untersuchten sie die Linux-Kernel-Versionen 4.14.81, 4.15, 4.16, 4.17, 4.18.19, 4.19.1, 4.19.2 und 4.20 Release Candidate 2 sowie FreeBSD 12, macOS 10.15 Catalina und Windows 8 und Windows 10 mi den jeweils neuesten Sicherheitsupdates.

Am Ende ihrer Untersuchung standen 26 zuvor unbekannte Bugs. Davon steckt einer in FreeBSD und drei in macOS, wo sie unter anderem einen unerwünschten Neustart auslösen oder das System einfrieren lassen. Vier Bugs in Windows 8 und Windows 10 lösen einen Absturz (Blue Screen of Death, BSoD) aus. Die restlichen 18 Bugs fanden sie in Linux.

Von den 18 Linux-Bugs wurden inzwischen elf gepatcht. Zehn der gepatchten Fehler erhielten zudem eine CVE-Nummer – sie werden als sicherheitsrelevant eingestuft. Die restlichen sieben Bugs soll ebenfalls kurzfristig beseitigt werden. Einige davon wurden offenbar auch von anderen Forschern entdeckt und an das Linux-Kernel-Team gemeldet.

Ein Whitepaper über USBFuzz liegt inzwischen ebenfalls vor. Ihre Erkenntnisse wollen Peng und Payer zudem auf der virtuellen Sicherheitskonferenz Usein Security Symposium präsentieren, das im August 2020 stattfindet. Außerdem soll das Tool nach dem Symposium unter einer Open-Source-Lizenz auf GitHub veröffentlicht werden.

Es ist nicht das erste Mal, dass ein Fuzzer gegen USB-Treiber eingesetzt wurde. Ein Google-Forscher entdeckte so im November 2017 79 Bugs im USB-Treiber des Linux-Kernels.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Impfpassinitiative geht an den Start

Eine breite Koalition aus führenden Vertretern der Gesundheits- und Technologiebranche kündigt die Vaccination Credential Initiative…

1 Tag ago

Cisco will alte Geräte nicht mehr patchen

Cisco wird für RV-Router nach deren End-of-Life keine Sicherheits-Patches mehr anbieten. Kunden sollten diese Geräte…

2 Tagen ago

Ab wann benötigen Unternehmen ein ERP-System?

Für viele Jahre galt ein Leitsatz: Großunternehmen nutzen ein ERP, kleinere oder mittelständische Betriebe verzichten…

2 Tagen ago

So schützen Sie sich vor gezielten Phishing-Angriffen

Hacker wissen, wer Sie sind. Die Angreifer nehmen die Rollen spezifischer Personen aus Ihrem Umfeld…

2 Tagen ago

Smartphone-Preise 2021: Erwarten uns neue Rekordkosten?

Die Preise für Smartphones könnten 2021 neue Rekordhöhen erreichen. Das liegt unter anderem daran, dass…

2 Tagen ago

Windows 10X enthüllt

Eine angeblich fast fertige Version des Microsoft-Betriebssystems Windows 10X ist im Internet aufgetaucht.

2 Tagen ago