Gravierende Sicherheitslücke im Linux-Kernel 2.4 und 2.6
Ein Bug im Linux-Kernel führt dazu, dass Anwender mit einem einfachen C-Programm[1] das System lahm legen können. Dazu sind nicht einmal Root-Rechte nötig. Offenbar sind alle Linux-Kernel 2.4.x und 2.6.x betroffen, während das Problem bei 2.2er-Kerneln nicht auftritt. Die Sicherheitslücke ist besonders gravierend, da sie jeder Benutzer mit einem Shell-Account ausnutzen kann. Viele Webhoster beispielsweise bieten Ihren Kunden die Möglichkeit, sich übers Netz auf Maschinen einzuloggen, auf denen die Webserver mehrerer Kunden laufen.
Der Code in dem kritischen Programm löst aufgrund einer fehlerhaften Assembler-Anweisung in einem Signal-Handler eine Floating-Point-Exception im Kernel aus, die nicht korrekt abgefangen wird. Der FPU-Fehler tritt in einer Endlosschleife immer wieder auf, die CPU-Last steigt auf 100 Prozent. Einprozessor-Maschinen frieren komplett ein. Auf Mehrprozessor-Maschinen und Hyperthreading-Prozessoren ist lediglich die CPU lahm gelegt, auf der das Programm läuft, und die dem Programm zugeordnete Konsole blockiert. Ein Einloggen übers Netz ist weiterhin möglich. User-Mode-Linux-Kernel (UML) stürzen mit einer floating point exception ab.
Das Problem und mögliche Lösungen werden bereits auf der Linux-Kernel-Mailingliste diskutiert. Patches für einige Kernelversionen stehen schon bereit[2]. Als erste Sicherheitsmaßnahme empfiehlt es sich, die Accounts aller nicht vertrauenswürdigen User zu deaktivieren. Bei Linux-Servern, die über das Internet erreichbar sind, sollte man Netz-Logins wenn möglich komplett abschalten.
(odi[3]/c't) (odi/c't)
URL dieses Artikels:
http://www.heise.de/newsticker/meldung/48236
Links in diesem Artikel:
[1] http://linuxreviews.org/news/2004-06-11_kernel_crash/#toc1
[2] http://linuxreviews.org/news/2004-06-11_kernel_crash/#toc5
[3] mailto: odi@ct.heise.de
