In einem Modul ihres neuen Paketformates Snap haben die Entwickler der Linux-Distribution Ubuntu einen Schreibfehler entfernt, der es Angreifern ermöglicht hatte, Schadcode mit den Rechten anderer Snap-Pakete auszuführen oder unberechtigt Daten zu kopieren.

Eines der Herausstellungsmerkmale, mit denen die Ubuntu-Macher ihr neues Paketformat bewerben, ist die Isolation der einzelnen Snap-Apps untereinander. Über den eingebauten Update-Mechanismus der Distribution wurde bereits ein Update, mit dem die Sicherheitslücke geschlossen wird, verteilt.

Im Ubuntu-Core-Launcher, dem Teil der Snap-Infrastruktur, der installierte Pakete ausführt, befand sich die Lücke (CVE-2016-1580). Ein Schreibfehler im Quellcode führte beim Einbinden von Mount-Punkten dazu, dass der Launcher mit einem entsprechend angepassten Paketnamen dazu gebracht werden konnte, beliebigen Code auszuführen. Der Angreifer muss dafür das Opfer dazu bringen, sein manipuliertes Snap-Paket zu installieren. Die Lücke wurde nur mit hoher Priorität versehen und gilt nicht als kritisch, da es das Mitwirken des Anwenders erfordert.

Ungefähr eine Woche vor der Veröffentlichung von Ubuntu 16.04 hat Ubuntu die Werkzeuge des aus den Snappy Apps hervorgegangen Paketformates Snap mit der darauf angepassten Fassung des Ubuntu-Core-Launchers in die Distribution integriert. Daher hatten die Entwickler und die Freiwilligen innerhalb der Community nur wenig Zeit zum Testen.

(ts, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE