News Linux-Lücke Dirty COW gestopft: Die „schmutzige Kuh“ ist vom Eis

[fethomm]

Der Linux Kernel ist von einer Sicherheitslücke befreit worden, die seit mindestens elf Jahren und Kernel 2.6.22 dort schlummerte und durch eine Race Condition eine Rechteausweitung erlaubte. Laut Linus Torvalds gewann die Uralt-Lücke erst mit der fortschreitenden Kernelentwicklung an Brisanz.

Zur News: Linux-Lücke Dirty COW gestopft: Die „schmutzige Kuh“ ist vom Eis

 

[nille02]

Sie ist nicht vom Eis. Millionen von Geräte werden nie ein Kernel Update erhalten. Besonders bei den ganzen ARM Platinen sieht es düster aus. Da ist Kernel 3.4 auch keine Seltenheit und im Falle meines Moto G2 in Version 3.4.42 vom April 2013 vorhanden (Aktuell ist 3.4.112 wobei der auch schon seit 6 Monaten nicht angefasst wurde).

 

[Schnitz]

@nille2

Und? Windows XP erhält auch keine Updates mehr und es läuft auf vielen Geräten

Oder Bada, oder MacOS 9 oder was weiß ich

Und beim aktuellen Windows weiß man gar nicht erst wie viele dreckige Kühe drin stecken weil man den Code nicht prüfen kann.

 

[Lagerhaus_Jonny]

Uuuuuuh, wie schlimm.
Jetzt mal im Ernst: um die Lücke auszunutzen braucht man erstmal einen gültigen LOKALEN Linux User.

Also wie viele Systeme betrifft sowas tatsächlich? Ich arbeite selbst für nen Hersteller von einer Linux Appliances und da hat dieser Bug eigentlich keinen wirklichen Impact. Es gibt einen hardgecodeten Linux User aber das Passwort kennen nur die jeweiligen Administratoren.
Ein dritter kann da also nicht so einfach dran.

Da war die SSH Lücke dieses Jahr schon wesentlich schädlicher.

@14nille02: wie viele Linux User Accounts hast du auf deinem Smartphone denn so angelegt?
Ich versuche gerade mir vorzustellen, was für ein Szenario es geben sollte auf einem Smartphone OS User anzulegen und diese dann auch noch zu verteilen, damit sich andere einloggen können...

 

[nille02]

Und? Windows XP erhält auch keine Updates mehr und es läuft auf vielen Geräten

Das ist schon längere Zeit EOL (Der 3.4er Zweig hat erst letzten Monat seinen EOL Status erreicht). Aber auch das ist nicht das Problem. Das Problem liegt an der Verteilung.

Und beim aktuellen Windows weiß man gar nicht erst wie viele dreckige Kühe drin stecken weil man den Code nicht prüfen kann.

FOSS hilft einem ja auch nicht, da dieser Bug fast 10 Jahre ignoriert wurde. Der Punkt bei Windows ist aber, das Updates Verteilt werden können, ohne das der Hersteller eines Gerätes was unternehmen muss. Bei den SoC Herstellern sieht man ja was passiert. Es wird ein Kernel Image zusammengeflickt und das muss man dann über Jahre hinweg nutzen.

Ergänzung (21. Oktober 2016)

@14nille02: wie viele Linux User Accounts hast du auf deinem Smartphone denn so angelegt?
Ich versuche gerade mir vorzustellen, was für ein Szenario es geben sollte auf einem Smartphone OS User anzulegen und diese dann auch noch zu verteilen, damit sich andere einloggen können...

Du brauchst keinen User anzulegen um den Bug nutzen zu können.

 

[Lagerhaus_Jonny]

@nille02: steht wo?
https://access.redhat.com/security/vulnerabilities/2706661

Attack Description and Impact

This flaw allows an attacker with a local system account to modify on-disk binaries, bypassing the standard permission mechanisms that would prevent modification without an appropriate permission set.

 

[nille02]

Eine App läuft unter einem lokalen Account. Das reicht schon.

 

[Lagerhaus_Jonny]

Das müsste dann aber schon die Schadsoftware selbst sein, korrekt?

 

[nille02]

Natürlich. In der Vergangenheit gab es schon Apps die Bugs im System genutzt haben um sich Root Rechte zu verschaffen um sich im System festzusetzen. Meist waren es aber Fehler im Android selbst, die zumindest bei Custom Roms gefixt werden konnten. Bei dem Fehler im Kernel ist das aber komplizierter.

 

[Lagerhaus_Jonny]

Naja, dann bedeutet das aber trotzdem, dass man sich die Schadsoftware erstmal auf das System holen und ausführen muss.
Wenn ich in Windows die Virus.exe starte kann mir auch nichts mehr helfen.
Also ich sehe das alles halb so wild, da gab es wirklich schon schlimmere Dinge.

 

[nille02]

Wenn ich in Windows die Virus.exe starte kann mir auch nichts mehr helfen.

Ja und Nein. Wenn die Virus.exe nur meinen Kram Kaputt machen kann, ist das wirklich nur mein Problem. Wenn sich die Virus.exe aber nun vollen Systemzugriff verschaffen kann, betrifft das auch andere User auf der Maschine oder eventuell sogar ein ganzes Netzwerk.

Beim Handy ist es nicht besser.

 

[fethomm]

Der Bug gefährdete auch Webhoster mit Shell-Access.

 

[Teiby]

Mit "apt-get upgrade && apt-get dist-upgrade" (Debian 8) bekommt man den Fix nicht oder? Schätze das ist komplizierter und dann funktioniert wieder irgendwas nicht mehr?

 

[nille02]

Mit "apt-get upgrade && apt-get dist-upgrade" (Debian 8) bekommt man den Fix nicht oder?

Seit gestern sollte er für Debian ausgeliefert werden. Für meinen PI mit raspbian ist er nur noch nicht da :/

 

[Wolfsrabe]

Nu macht euch mal nicht ins Hemd. Die Lautheit des Aufschreies von Personen steht indirekt proportional zur Kenntnistiefe derjenigen zu diesem Thema. Aber das war ja schon immer so.

 

[fethomm]

Seit gestern sollte er für Debian ausgeliefert werden. Für meinen PI mit raspbian ist er nur noch nicht da :/

Anstatt 'upgrade' muss es vorne 'update' heißen.

 

[fax668]

Das heißt "apt-get update && apt-get upgrade", wenn man Debian 8 schon drauf hat.

 

[mlyka]

Unter debian einfach mal hier nach schauen: https://security-tracker.debian.org/tracker/CVE-2016-5195

Und im System ein "uname -a" ausführen um die Versionen überprüfen.

 

[tuxnix]

Mal so eine Idee:
Viele Smartphones sind unsupportet und werden vom Hersteller keinen gefixten kernel erhalten.
Wäre es nicht theoretisch möglich den Dity COW bug dazu zu nutzen und mittels eigens dafür entwickelter App den kernel in gefixter Version aufzuspielen?

 

[nille02]

Wäre es nicht theoretisch möglich den Dity COW bug dazu zu nutzen und mittels eigens dafür entwickelter App den kernel in gefixter Version aufzuspielen?

Und woher willst du einen gefixten Kernel auftreiben? Bei den meisten SoCs ist das ein nur noch ein großer Blob.