Sicherheitslücken im Linux-Kernel
Zusammenfassung
Mit grsecurity 2.1.0 wies Brad Spengler im Januar 2005 auf vier lokale Lücken im Linux-Kernel hin, Paul Starzetz meldete eine weitere im Binary-Loader. Alle erlaubten lokalen Benutzern die Ausweitung ihrer Rechte bis hin zu Root. Spengler kritisierte, dass die Lücken trotz beigefügter Patches drei Wochen nach der Meldung an Torvalds und Morton noch offen waren.
Ideen
- Mitgelieferte Patches beschleunigten die Korrektur nicht automatisch.
- Lokale Rechteausweitung bleibt auf Mehrbenutzersystemen kritisch.
- Externe Sicherheitsprojekte wie grsecurity und PaX finden Lücken im Hauptkernel.
Einsichten
- Ein Prozess für Sicherheitsmeldungen ist so wichtig wie die Korrektur selbst.
- Spannungen zwischen Sicherheitsforschern und Kernel-Entwicklern prägten die Kernel-Sicherheit über Jahre.
Fakten
- Spengler informierte Torvalds nach eigenen Angaben am 15. Dezember 2004.
- Das PaX-Team meldete eine weitere Lücke am 27. Dezember 2004.
- Spengler fand nach eigenen Angaben mit einer kleinen Analyse in 15 Minuten vier weitere Lücken.
Referenzen
Kritik
- Die Meldung gibt Spenglers Sicht wieder, eine Stellungnahme von Torvalds oder Morton fehlt.
Bemerkungen
- Später führte der Kernel mit security@kernel.org einen festen Meldeweg für Sicherheitslücken ein.
Empfehlungen
- Melde Kernel-Lücken über security@kernel.org statt an einzelne Entwickler.
- Richte für eigene Projekte einen dokumentierten, vertraulichen Meldeweg ein.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.