Angreifer können einen Programmierfehler in der Userspace-Krypto-API des Linux-Kernels dazu missbrauchen, Root-Rechte auf einem Zielsystem zu erlangen. Mehrere Beobachter aus der Kernel-Sicherheitsszene vermuten außerdem, dass der Use-After-Free-Speicherfehler auch zum Ausführen von beliebigem Schadcode durch den Angreifer genutzt werden könnte. Die Sicherheitslücke (CVE-2019-8912) wird in der Sicherheitslückendatenbank der US-Behörde NIST (National Institute of Science and Technology) mit einer Gefahrenstufe von 9,8 von 10 möglichen Punkten geführt.

Alle Linux-Kernel von der Einführung des Moduls af_ag im 2.6er Kernel bis zur aktuellen Version 4.20.11 scheinen betroffen zu sein. Anscheinend sind nur Versionen ab 4.10 angreifbar, da eine Funktion, die zum Ausnutzen des Fehlers nötig ist, erst dann eingebaut wurde. In die aktuelle Entwicklungsversion des Kernels wurden bereits Patches für die Sicherheitslücke eingepflegt. Dass der Bugfix auch in ältere Kernel-Versionen als Backport Einzug hält, erwarten Beobachter.

Ein Entwickler der Firma Huawei, der auch gleich den Patch geliefert hat, hat den Programmierfehler gefunden. Allem Anschein nach existierte der Bug bereits seit knapp zehn Jahren.

(hv, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE