bk99.de entertain the web since 1997

bk99.de
fefe · SicherheitKuratiert

Android-Patches offenbaren kritische Kernel-Lücken

Zusammenfassung

Das Android-Sicherheitsbulletin vom Oktober 2016 enthielt kritische Lücken, die nach allgemeinen Linux-Problemen klangen, darunter Codeausführung aus der Ferne im ASN.1-Decoder und im Netzwerk-Subsystem des Kernels. Felix von Leitner kritisierte, dass die Linux-Entwickler solche Lücken nicht klar ankündigten. Ein Nachtrag relativierte: Die Netzwerklücke betraf nach erster Durchsicht nur Programme, die den selten genutzten Systemaufruf recvmmsg verwenden.

Warum Android-Bulletins für Linux wichtig sind

Android basiert auf dem Linux-Kernel. Google veröffentlicht jeden Monat ein Sicherheitsbulletin, das auch Kernel-Lücken auflistet, oft mit klareren Einstufungen als die Kernel-Entwickler selbst. Wer Linux-Server betreibt, kann daraus Hinweise ziehen, welche Kernel-Korrekturen dringend sind.

Der ASN.1-Decoder im Kernel wird unter anderem zum Prüfen von Zertifikaten für signierte Kernelmodule gebraucht. Von Leitner hielt es für einen Fehler, einen solchen Parser für ein komplexes Format überhaupt im Kernel zu betreiben, weil jeder Fehler dort mit höchsten Rechten läuft.

Gründlich prüfen statt nur alarmieren

Der Nachtrag ist lehrreich: Auf den ersten Blick klang „Remote Code Execution im Netzwerk-Subsystem“ dramatisch. Nach einem Blick auf die eigentliche Änderung blieb eine lokale Rechteausweitung, die nur mit recvmmsg ausnutzbar war. Die Einstufung in einem Bulletin ersetzt also nicht den Blick auf den Patch.

Ideen

  • Android-Bulletins liefern Hinweise auf Lücken im gemeinsamen Linux-Kernel.
  • Parser für komplexe Formate im Kernel vergrößern die Angriffsfläche.
  • Die tatsächliche Gefahr einer Lücke zeigt sich oft erst im Patch.

Einsichten

  • Die Einstufung einer Lücke im Bulletin kann zu hoch oder zu niedrig sein.
  • Was im Kernel läuft, sollte so einfach wie möglich sein.

Fakten

  • Das Android-Sicherheitsbulletin stammte vom 1. Oktober 2016.
  • recvmmsg ist ein Linux-spezifischer Systemaufruf, der mehrere Nachrichten auf einmal empfängt.
  • Genannt wurden unter anderem Lücken in Treibern von MediaTek und Qualcomm.

Referenzen

Bemerkungen

  • Der Nachtrag des Originalbeitrags stuft die Netzwerklücke nach eigener Prüfung deutlich herunter.

Empfehlungen

  • Lies bei Sicherheitsmeldungen auch den Patch oder eine fundierte Analyse, bevor du die Dringlichkeit bewertest.
  • Halte Kernel auf Servern und Geräten aktuell, auch wenn eine Lücke harmlos klingt.

Originalbeitrag lesen →

Im Webarchiv suchen

fefe · 2009

Verschweigt Linux sicherheitsrelevante Kernel-Patches?

Felix von Leitner kritisierte 2009, dass die Linux-Entwickler nicht mehr kennzeichneten, welche Kernel-Patches Sicherheitslücken schließen. Als Beispiel diente Linux 2.6.29.1 mit einer Änderung im CIFS-Code, die nach einem Pufferüberlauf aussah, der aus der Ferne ausnutzbar sein könnte. Ohne Hinweis bemerkten weder normale Nutzer noch Fachmedien, wie dringend das Update war.

fefe · 2023

Kritische Confluence-Lücke wurde vor dem Patch ausgenutzt

Atlassian veröffentlichte Anfang Oktober 2023 ein Update für eine kritische Lücke in Confluence mit der Höchstbewertung CVSS 10. Laut Microsoft nutzten chinesische Angreifer sie bereits seit Mitte September aus. Felix von Leitner spottete über Atlassians Seite zum Schwachstellenmanagement, die Lücken als unvermeidlichen Teil der Softwareentwicklung darstellt und vor allem auf Scans und ein Bug-Bounty-Programm setzt.

fefe · 2018

Hardwarefehler erzwingt teure Kernel-Schutzmaßnahmen

Anfang Januar 2018 kursierten Gerüchte über einen Hardwarefehler in Prozessoren, gegen den die Kernel-Entwickler eilig teure Schutzmaßnahmen einbauten. Felix von Leitner hielt den Verlust von ASLR zunächst für verschmerzbar, weil ASLR nur die Ausnutzung von Lücken erschwert. Ein Nachtrag korrigierte: Offenbar konnten normale Programme Kernelspeicher auslesen, und das ist ernst.