19 Jahre alte Sicherheitslücke im Linux-Kernel ermöglicht Root-Rechte

Sicherheitsexperten haben eine schwerwiegende Schwachstelle im Linux-Kernel aufgedeckt. Diese ermöglicht Angreifern mit eingeschränkten Benutzerrechten die Erlangung von Root-Rechten. Der Bug existiert wohl seit rund 19 Jahren.

Bug in CIFS

Betroffen von der als "CIFSwitch" bezeichneten Sicherheitslücke ist das CIFS-Subsystem des Linux-Kernels, das für die Anbindung von Netzwerkfreigaben über das SMB-Protokoll zuständig ist. Dazu gehört auch das Hilfsprogramm "cifs.upcall" aus dem Paket cifs-utils, das Authentifizierungsaufgaben übernimmt. Nach Angaben des Sicherheitsforschers Asim Viladi Oglu Manizada enthält die Kommunikation zwischen Kernel und Hilfsprogramm eine Schwachstelle, die eine Rechteausweitung ermöglicht.

Demnach überprüft der Kernel nicht ausreichend, ob bestimmte Authentifizierungsanfragen tatsächlich vom CIFS-Subsystem stammen. Ein lokaler Angreifer kann daher manipulierte Anfragen direkt erzeugen und dabei eigene Parameter einschleusen. Da das Hilfsprogramm mit Root-Rechten ausgeführt wird, lässt sich dieser Mechanismus missbrauchen, um Prozesse in vom Angreifer kontrollierten Namensräumen auszuführen.


Zusätzlich kommt ein weiterer Faktor hinzu: Während der Verarbeitung führt das Hilfsprogramm noch vor dem Absenken seiner Berechtigungen Benutzerabfragen über den Name Service Switch (NSS) durch. Angreifer können dadurch gefälschte NSS-Konfigurationsdateien und manipulierte Module bereitstellen, die anschließend mit Root-Rechten geladen und ausgeführt werden.

Nach Einschätzung des Forschers lässt sich die Schwachstelle beheben, indem nur noch eindeutig vom CIFS-Subsystem erzeugte Schlüsselinformationen akzeptiert werden. Darüber hinaus seien zusätzliche Sicherheitsprüfungen im Userspace sinnvoll, um manipulierte Anfragen frühzeitig zu erkennen.

Updates verfügbar

Nicht alle Linux-Systeme sind gleichermaßen betroffen. Verwundbar sind unter anderem bestimmte Versionen von Linux Mint, CentOS, Rocky Linux, Kali Linux, AlmaLinux sowie SLES SAP, sofern cifs-utils standardmäßig installiert ist. Andere Distributionen blockieren den kritischen Ausführungspfad bereits durch Voreinstellungen. Amazon Linux 2 KVM sowie einige ältere Kali-Versionen gelten laut den vorliegenden Analysen als nicht betroffen.

Die großen Linux-Distributionen haben bereits Anfang des Monats Sicherheitsupdates veröffentlicht. Zudem ist ein Proof-of-Concept-Code verfügbar, mit dem Administratoren die Wirksamkeit von Patches, Schutzmaßnahmen und Erkennungsmechanismen überprüfen können.

Download Ubuntu LTS - Beliebte Linux-Distribution
Siehe auch: