Dirty Frag: Zweite gravierende Zero-Day-Lücke bedroht Linux-Systeme

Eine zweite gravierende Sicherheitslücke in kurzer Zeit sorgt in der Linux-Welt für Alarmstimmung: Unter dem Namen "Dirty Frag" ist ein weiterer Fehler bekannt geworden, der auf nahezu allen Linux-Systemen seit 2017 ausgenutzt werden kann.

Zügig zum root

Der Bug verschafft Angreifern innerhalb weniger Sekunden Administrator- beziehungsweise root-Rechte. Zum Zeitpunkt der Veröffentlichung erster Informationen über das Problem existiert noch kein offizielles Sicherheitsupdate. Betroffen sind zahlreiche weit verbreitete Distributionen wie Ubuntu, Arch Linux, Fedora, OpenSUSE, Red Hat Enterprise Linux sowie CentOS Stream und AlmaLinux, berichtet das US-Magazin TomsHardware.

Die Schwachstelle ähnelt technisch der erst kürzlich bekannt gewordenen "Copy Fail"-Lücke, die bereits erhebliche Sicherheitsprobleme verursacht hatte. In beiden Fällen reicht ein lokal ausgeführtes Programm aus, um Root-Rechte zu erhalten. Nach bisherigen Erkenntnissen sind keine besonderen Systemkonfigurationen oder komplizierten Timing-Angriffe nötig. Experten sprechen deshalb von einer besonders gefährlichen Schwachstelle, da sie vergleichsweise leicht auszunutzen sei.


Nach Berichten von Sicherheitsexperten betrifft der Fehler auch aktuelle Kernel-Versionen. Tests sollen erfolgreiche Angriffe unter anderem auf Arch Linux und CachyOS bestätigt haben. Auch Microsofts Linux-Umgebung WSL2 blieb demnach nicht verschont.

Die Ursache liegt offenbar in fehlerhaftem Code innerhalb bestimmter IPSec-bezogener Kernel-Module. Konkret handelt es sich um Probleme in den Komponenten "esp4", "esp6" und "rxrpc". Da diese Module auf vielen Servern gar nicht benötigt werden, empfiehlt es sich vorerst, sie vorsorglich zu deaktivieren. Das kann das Risiko deutlich senken, ohne die Funktion der meisten Systeme zu beeinträchtigen.

Angriffe finden sicher schon statt

Zusätzliche Unruhe entstand in dem Zusammenhang durch Hinweise auf ein gebrochenes Sicherheits-Embargo. Die Linux-Kernel-Entwickler sollen Ende April über die Lücke informiert worden sein. Offenbar wurde die Existenz des Exploits jedoch vorzeitig öffentlich bekannt gemacht, bevor Schutzmaßnahmen vorbereitet werden konnten. Es ist daher wahrscheinlich, dass die Schwachstelle bereits aktiv von Angreifern ausgenutzt wird.

Administratoren wird daher geraten, ihre Systeme engmaschig zu überwachen und verfügbare Sicherheitsupdates sofort einzuspielen, sobald diese erscheinen. Die Veröffentlichung eines funktionierenden Proof-of-Concept-Codes erhöht den Druck zusätzlich, da damit auch weniger erfahrene Angreifer die Sicherheitslücke ausnutzen könnten.


Siehe auch: