Qualys hat eine schwerwiegende Sicherheitslücke entdeckt, die nahezu alle Linux-Distributionen betrifft. Die als Looney Tunables bezeichnete Anfälligkeit steckt in der GNU-C-Bibliothek glibc und führt zu einem Pufferüberlauf. Im zehnstufigen Common Vulnerability Scoring System ist sie mit 7,8 Punkten bewertet.
Den Forschern des Qualys Threat Research Unit ist es gelungen, die Schwachstelle auszunutzen und eine lokale Ausweitung von Benutzerrechten zu erreichen, um Root-Rechte zu erhalten. Ihren Angriff testeten sie erfolgreich mit Standardinstallationen von Fedora 37 und 38, Ubuntu 22.04 und 23.04 sowie Debian 12 und 13.
Die Sicherheitslücke ermöglicht es, ohne großen Aufwand die Kontrolle über ein Linux-System als Root-Nutzer zu übernehmen. Die Forscher merkten an, dass ihre Methode mit praktisch alle SUID-Root-Programmen funktioniere, die ab Werk unter Linux installiert seien.
Zudem fand Qualys heraus, dass der Fehler bereits seit April 2021 vorhanden ist. Er wurde mit der Version 2.34 von glibc eingeführt. Der Pufferüberlauf steckt im dynamischen Loader Id.so der Bibliothek, was wiederum eine wichtige Komponente für das Ausführen von Programmen auf Linux-Systemen ist. Ausgelöst wird der Bug bei der Verarbeitung der Variable GLIBC_Tunables.
„Diese Umgebungsvariable, die der Feinabstimmung und Optimierung von mit der glibc verknüpften Anwendungen dient, ist ein wichtiges Werkzeug für Entwickler und Systemadministratoren. Ihr Missbrauch oder ihre Ausnutzung hat weitreichende Auswirkungen auf die Systemleistung, Zuverlässigkeit und Sicherheit“, kommentiert Qualys. „Die Leichtigkeit, mit der der Pufferüberlauf in einen reinen Datenangriff umgewandelt werden kann, könnte zahllose Systeme gefährden, insbesondere angesichts der umfangreichen Verwendung der glibc in allen Linux-Distributionen.“
Updates liegen bereits für Red Hat, Ubuntu, Debian und Gentoo vor. Auch der Upstream glibc-Code wurde schon gepatcht. Allerdings liegt inzwischen auch ein Exploit vor, mit dem sich die Schwachstelle ausnutzen lässt.
Als Geldgeber sind Apple, Microsoft und Nvidia im Gespräch. OpenAI sucht angeblich frisches Geld zum…
BSI veröffentlicht IT-Sicherheitskennzeichen für mobile Endgeräte. Wirtschaft und Zivilgesellschaft konnten Kriterien dafür mit bestimmen.
Laut Bitkom-Studie beläuft sich der Gesamtschaden auf rund 267 Milliarden Euro. China werde zum Standort…
Sie erlauben unter Umständen eine Remotecodeausführung. Updates stehen für Chrome für Windows, macOS, Linux und…
Apple hat auf der WWDC einige Neuerungen für das Gerätemanagement vorgestellt. Eine Einordnung von Surendiran…
Kaspersky ermittelt einen Anstieg der Anzahl der Attacken um 23 Prozent. Anfällige Treiber lassen sich…