Verschweigt Linux sicherheitsrelevante Kernel-Patches?
Zusammenfassung
Felix von Leitner kritisierte 2009, dass die Linux-Entwickler nicht mehr kennzeichneten, welche Kernel-Patches Sicherheitslücken schließen. Als Beispiel diente Linux 2.6.29.1 mit einer Änderung im CIFS-Code, die nach einem Pufferüberlauf aussah, der aus der Ferne ausnutzbar sein könnte. Ohne Hinweis bemerkten weder normale Nutzer noch Fachmedien, wie dringend das Update war.
Die Debatte
Die Kernel-Entwickler vertraten die Haltung, ein Fehler sei ein Fehler: Viele Bugs können sicherheitsrelevant sein, ohne dass man es auf den ersten Blick sieht, und eine Kennzeichnung würde Angreifern zudem verraten, wo sie suchen müssen. Von Leitner hielt dagegen, dass Angreifer ohnehin jeden Patch untersuchen. Die Geheimhaltung schade nur denen, die entscheiden müssen, ob sie sofort aktualisieren.
Das Beispiel war gut gewählt: Die Änderung vergrößerte einen Puffer im CIFS-Dateisystem, der Text vom Server aufnimmt. Wer CIFS nutzte und mit einem bösartigen Server sprach, konnte betroffen sein.
Was daraus wurde
Der Streit begleitete Linux über viele Jahre. Seit Februar 2024 vergibt das Kernel-Projekt als eigene CVE Numbering Authority selbst Kennungen und versieht nun fast jeden behobenen Fehler mit einer CVE. Damit wird zwar alles gekennzeichnet, die Einordnung nach Dringlichkeit bleibt aber weiterhin bei Distributionen und Betreibern.
Ideen
- Eine Kennzeichnung von Sicherheitsfixes hilft Nutzern, Updates zu priorisieren.
- Angreifer analysieren Patches unabhängig davon, ob sie gekennzeichnet sind.
- Ein vergrößerter Puffer in einem Patch ist oft ein Hinweis auf einen behobenen Überlauf.
Einsichten
- Geheimhaltung bei Sicherheitsfixes schützt eher die Angreifer als die Nutzer.
- Bei sehr vielen Fehlern lässt sich die Sicherheitsrelevanz einzelner Fixes kaum zuverlässig bewerten.
Fakten
- Der Anlass war Linux 2.6.29.1 vom April 2009.
- Die Änderung betraf die Funktion CIFSTCon im CIFS-Dateisystem.
- Seit Februar 2024 ist das Kernel-Projekt eine eigene CVE Numbering Authority.
Referenzen
Kritik
- Der Beitrag räumt selbst ein, den Patch nicht näher untersucht zu haben; die Einstufung als Remote-Lücke ist eine begründete Vermutung, kein Nachweis.
Bemerkungen
- Der zweite Teil des Originals ist ein allgemeiner Frust über Bluetooth unter Linux und eine Debatte zu bind() mit IPv6.
Empfehlungen
- Spiele stabile Kernel-Updates regelmäßig ein, statt auf Sicherheitshinweise zu warten.
- Deaktiviere Dateisystem- und Netzwerkmodule, die du nicht nutzt.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.