Hunderttausende Linux-Server anfällig für unbefugten Root-Zugriff

Sicherheitsexperten sind aktuell durch eine Schwachstelle aktiviert, die eigentlich schon seit 18 Jahren geschlossen ist. Plötzlich tauchte sie wieder auf und macht aktuell zahlreiche Systeme - hauptsächlich Server - anfällig für schwerwiegende Angriffe.

Wieder aufgetauchter OpenSSH-Bug

Der Bug findet sich im Code des OpenSSH-Servers wieder, der eigentlich einen sicheren Fernzugang zu Linux- und Unix-Servern ermöglichen soll. Aufgrund des Fehlers wird es einem nicht authentifizierten Angreifer aber möglich, eigenen Code in das jeweilige System einzuschleusen und diesen mit Root-Rechten auszuführen - das entspricht einer kompletten Übernahme des Ziels.

Bei dem Bug handelt es sich um eine sogenannte Regression. So werden Schwachstellen bezeichnet, die es schon einmal gab und die durch einen Patch geflickt wurden. Später tauchen sie allerdings aufgrund von unbedachten Änderungen am Code wieder auf. "In unserer Sicherheitsanalyse haben wir festgestellt, dass es sich bei dieser Schwachstelle um eine Regression der zuvor gepatchten Schwachstelle CVE-2006-5051 handelt, die 2006 gemeldet wurde", heißt es in einer Analyse des Sicherheitsunternehmens Qualys.


Die Sicherheitsforscher der Firma haben den erneut aufgetauchten Fehler ausfindig gemacht und unter der Bezeichnung CVE-2024-6387 ein zweites Mal in die Security-Datenbanken geschrieben. Wie genau es zu dem Problem kam, ist nicht ganz klar. Der Vorfall unterstreiche aber die Bedeutung von Regressionstests, um das erneute Aufreißen bekannter Schwierigkeiten auszuschließen, so die Qualys-Experten.

Über Jahre kaputt

Die Rückkehr des Fehlers ließ sich in den Codes nun auf den Oktober 2020 zu­rück­verfolgen. Da die Schwachstelle nun wieder lange vorhanden ist, gibt es der­zeit durch­aus viele anfällige Systeme. Be­trof­fen seien vor allem Linux-Server, die mit glibc arbeiten. Die be­mer­kens­wer­te Aus­nahme ist hier OpenBSD. Hier sorgte eine Sicher­heits­an­pas­sung im Jahr 2001 dafür, dass der OpenSSH-Bug nie zum Tragen kam.

Scans und Versionsprüfungen ergaben im Rahmen der Untersuchungen, dass wahrscheinlich um die 700.000 aktive Server von dem Problem betroffen sind. Administratoren sollten daher umgehend prüfen, ob sie mit der neuesten OpenSSH-Version arbeiten. Alle Versionen von OpenSSH vor 4.4p1 sind anfällig, es sei denn, sie haben Patches für CVE-2006-5051 und CVE-2008-4109 installiert. Versionen von 8.5p1 bis einschließlich 9.8p1 sind ebenfalls anfällig.


Siehe auch: