Linux: USB-Subsystem des Kernels hat 79 Schwachstellen

Sicherheitsforscher bei Google haben in letzter Zeit im USB-Subsystem des Kernels insgesamt 79 Lücken gefunden. Die Lücken, von denen nun einige veröffentlicht wurden, befinden sich in USB-Gerätetreibern. Betroffen sind Kernel bis hin zu 4.13.8.

Google-Sicherheitsforscher Andrey Konovalov beschäftigt sich schon länger mit dem USB-Stack im Linux-Kernel. Er stellte fest, dass viele der Treiber für unterstützte USB-Geräte nicht ausreichend getestet sind. Jetzt legte er eine Liste mit 79 Schwachstellen vor, die mit präparierten USB-Sticks ausgenutzt werden können.

Die überwiegende Mehrheit der aufgefundenen Lücken erlaubt Angreifern mit physischem Zugriff auf die Hardware Denial-of-Service-Attacken (DoS). Einige lassen aber auch eine lokale Rechteausweitung zu, in deren Folge auch Code injiziert und ausgeführt werden kann.

Nicht ausreichend getestet

Die Angriffsmethode eignet sich auch für Angriffe gegen air-gapped-Systeme, also Rechner, die nicht ans Internet oder ein Firmen-Intranet angeschlossen sind und nur per Wechselmedien mit anderen Rechnern kommunizieren.

Konovalov hat 14 Schwachstellen veröffentlicht, die allesamt bereits einen Patch und eine CVE-Kennung haben. An diesem Wochenende veröffentlicht Linus Torvalds mit Kernel 4.14 eine neue Version von Linux, die zumindest einige der vielen Lücken schließen sollte.

Mit POTUS Lücken aufspüren

Eine Gruppe von Sicherheitsforschern an der Universität von London hatte sich in letzter Zeit ebenfalls intensiv mit dem USB-Subsystem des Kernels beschäftigt. Sie haben ein Werkzeug entwickelt, dass Sicherheitslücken in USB-Gerätetreibern des Kernels auffinden kann. Das Tool wurde POTUS getauft und seine Wirkungsweise zu Jahresbeginn in einem wissenschaftlichen Papier vorgestellt. Auch diese Forschergruppe stellte fest, dass der USB-Stack generell besser getestet werden muss.

Neugierde ausgenutzt

Gerade wenn es um das Eindringen in gut gesicherte Unternehmensrechner geht, setzen Angreifer auf den menschlichen Faktor. So wurde bekannt, dass Angreifer präparierte USB-Sticks auf Firmenparkplätzen ablegen in der Hoffnung, ein Angestellter findet den Stick und steckt ihn an einen Firmenrechner an.