News Schwachstelle in C-Bibliothek: Looney Tunables gefährdet zahlreiche Linux-Systeme

[Garmor]

Jetzt ist auch Fedora gefixed.

 

[SSD960]

Welche Software ist ohne lücken? Keine. Die Frage wie einfach lässt sich die Lücke ausnutzen?

 

[Unnu]

aber ist das wirklich sooo schwer zu vermeiden?

Ja. Vor allem wenn das Ökosystem langsam vor sich hin gew...achsen ist. Früher waren Pufferüberläufe ärgerlich, allerdings jetzt nix, was alle alarmiert hat. Das kam dann erst, als jemand diese dann für Exploits genutzt hat.
Und C will halt, dass man seinen eigenen Scheiß im Griff hat. Schließlich macht man seine eigene Speicherverwaltung. Mit allem was dazu gehört.
So ein Speicherüberlauf ist da schnell mal übersehen.

Andererseits spricht es für die Bibliothek, dass so ein Bug überhaupt gefunden und dann auch sehr schnell gefixt wird. Obendrein wurde erst jetz mal wieder ein Bug gefunden. Auch das spricht für eine sehr stabile und ausgereifte Lib.

Erinnert mich so ein bischen an Log4j. Das steckte auch fast überall drin.

Ergänzung (5. Oktober 2023)

Die Frage wie einfach lässt sich die Lücke ausnutzen?

Klingt als wäre sie stable, also zuverlässig. Das ist schlecht.

 

[flaphoschi]

Vermutlich


Oh ja - ich betreue nur ein paar AUR-Pakete und das reicht mir auch schon

Auch AUR.

Das aufwendigste bei Patches ist nicht der Code. Die passenden Übersetzungen sind es.

 

[Piktogramm]

ich hab ein Elektro und informationstechnikstudium im ersten Semester abgebrochen und dementsprechend keine Ahnung, aber ist das wirklich sooo schwer zu vermeiden? 🙄

Fehlannahmen sind schnell gemacht.
Und aus eigener Erfahrung, jenachdem wo man das lernt bzw. bei wem wird man dafür überhaupt nicht sensibilisiert. Da fallen also ausreichend Leute, die mitunter nichtmal wissen, dass da grundlegend Wissen fehlt.

 

[JustAnotherTux]

Welche Software ist ohne lücken? Keine. Die Frage wie einfach lässt sich die Lücke ausnutzen?

Und wie einfach / schnell läst sie sich schließen

 

[ReactivateMe347]

Mir fehlt hier eine Info, was der Angreifer damit erreichen kann. Ist das ein lokaler Nutzer zu root Exploit?

 

[coffee4free]

Artikel-Update: Wie aus einem Bericht von Bleeping Computer hervorgeht, haben andere Sicherheitsforscher inzwischen erste Exploits für Looney Tunables veröffentlicht. Einer davon stammt von dem Niederländer Peter Geissler, auch bekannt unter dem Namen blasty. Geissler hat seinen Exploit auf X geteilt – ein anderer Schwachstellen- und Exploit-Experte namens Will Dormann bestätigte dessen Funktionsfähigkeit daraufhin.

 

[DarkSoul]

Wahrscheinlich wurde vergessen zu prüfen, wo die Libs liegen, die nachgeladen werden sollen und schwupps, sind es präparierte aus dem Internet, die untergejubelt werden können.

 

[0x8100]

Ist das ein lokaler Nutzer zu root Exploit?

ja, ist lokal.

 

[EmilEsel]

linux ist mir zu unsicher
microsoft kennt doch sine ganzen geheim hintertüren
da blieb ich also lieber bei windows

 

[flaphoschi]

unseren täglichen pufferüberlauf Gib uns heute...

ich hab ein Elektro und informationstechnikstudium im ersten Semester abgebrochen und dementsprechend keine Ahnung, aber ist das wirklich sooo schwer zu vermeiden? 🙄

Ja.

Aber es wird laufend besser. Durch die Sanitizer in GCC/CLANG und Valgrind hat sich die Situation grundlegend verbessert.

Ergänzung (6. Oktober 2023)

Seit 2021
uff

Ziemlich kurz. Da gibt es in X11 noch mehr Altlasten und wohl in der ganzen WIN32-Implementierung.

Log4J war mit 2013-2021 auch nicht so alt. Aber fürchterlich, weil Javacode mit Log4J wirklich überall rumgammelt und externe Angreifer anzieht.

 

[SheepShaver]

Wahrscheinlich wurde vergessen zu prüfen, wo die Libs liegen, die nachgeladen werden sollen und schwupps, sind es präparierte aus dem Internet, die untergejubelt werden können.

Nein, so funktioniert das nicht.

 

[codengine]

Sollte sowas nicht ein billiger (Unit)-Test finden?

 

[Redundanz]

gibt bald nen neuen trend...

"i use musl btw"

 

[SSD960]

linux ist mir zu unsicher
microsoft kennt doch sine ganzen geheim hintertüren
da blieb ich also lieber bei windows

Die Hoffnung stirbt zuletzt...

 

[netzgestaltung]

opnsense, debian und fedora sind aktualisiert, morgen kommen die ubuntus und manjaros dran. ev kriegen die gleich nobara drauf.

 

[dermatu]

Ist nicht gerade erst auch bei curl eine riesen Schwachstelle aufgedeckt worden ?

 

[konkretor]

@dermatu

Jo bei curl kocht es auch, wie schlimm unklar

https://www.heise.de/news/cURL-Info...seit-Langem-kommen-am-11-Oktober-9326134.html

 

[dh9]

Sollte sowas nicht ein billiger (Unit)-Test finden?

Wenn man explizit dafür einen programmier hat ja. Also nein.