Nul
Video: de Meest veilige Linux server setups kwetsbaar voor nieuw ontdekte sudo gat
Google-onderzoeker Andrey Konovalov heeft geopenbaard 14 fouten in de Linux kernel USB-stuurprogramma ‘ s vinden dat hij gebruik maakt van een kernel fuzzer genaamd ‘syzkaller’, gemaakt door een ander Google-onderzoeker, Dmitry Vyukov.
“Alle van hen kan worden geactiveerd met een bewerkte schadelijke USB-apparaat in het geval een aanvaller fysieke toegang tot de machine,” Konovalov schreef.
De 14 kwetsbaarheden onthulde gisteren zijn oplossingen beschikbaar, maar ze zijn onderdeel van een veel grotere groep van 79 gebreken beïnvloeden de Linux kernel USB-stuurprogramma ‘ s.
Momenteel hebben 22 van de bugs toegewezen hebben gekregen een CVE-nummer. Elk van deze heeft oplossingen beschikbaar, maar veel van de gebreken nog niet zijn verholpen.
De 14-gebreken beïnvloeden de Linux kernel alvorens versie 4.13.8. De meeste van hen kan worden gebruikt om zo een service weigering veroorzaken, maar een speciaal gemaakte USB-apparaat kan ook leiden tot een systeemcrash en andere “niet gespecificeerd” effecten.
Hoewel een aanvaller moet de fysieke toegang, cybercriminelen hebben eerder gedaald met malware geïnfecteerde USB-sticks in bedrijf parkeerplaatsen, gericht voor nieuwsgierige medewerkers in te voegen op een werk van de machine.
Ook Stuxnet is ontworpen om te infecteren lucht-gapped machines door eerst het infecteren van USB-schijven die voorheen waren aangesloten in een besmette machine.
Konovalov meldde de eerste van de 79 bugs om relevante partijen in December vorig jaar via een Google Discussiegroepen mailing lijst, en bleef voor het bijwerken van de groep met nieuwe bevindingen in dit jaar. Aangemelde partijen opgenomen Google, Linux kernel ontwikkelaars, Intel en De Linux Foundation.
Deze rapportage kan uitleggen waarom Linus Torvalds in de laatste maand bijgeschreven mensen doen “gerichte fuzzing van de bestuurder subsystemen” voor het helpen bij het vinden van veiligheidsvraagstukken.
Fuzzing gaat om het gooien van grote aantallen willekeurige code op een doel stukje software in een poging om crashes te veroorzaken.
Veel van de fouten Konovalov verspreid onder de mailinglijst werden gemeld in de maanden September en oktober een aantal van die gevonden waren in release candidates van de kernel versie 4.14 en vastgesteld door de Linux kernel ontwikkelaars tijdens de ontwikkelings-proces.
Konovalov de syzkaller rapporten houden kernel ontwikkelaars bezig. Een aantal van de nieuwste USB-fouten die Konovalov gemeld beïnvloed Linux 4.14 release candidate (RC) 8. Torvalds aangekondigd 4.14 RC 8 release op zondag, en op maandag Konovalov had gevonden een handvol andere USB-bugs, sommige van die verholpen zijn en anderen niet.
Torvalds zei Linux 4.14.0 moet worden vrijgegeven volgende zondag.
Konovalov eerder dit jaar ontdekte een 11-jaar-oude fout in de Linux kernel met gebruik van dezelfde fuzzing tool.
Linux kernel oprichter Linus Torvalds onlangs gecrediteerd mensen doen “gerichte fuzzing van de bestuurder subsystemen” voor het helpen bij het vinden van veiligheidsvraagstukken.
Afbeelding: De Aalto Universiteit/YouTube
Vorige en aanverwante dekking
Linus Torvalds, zegt gerichte fuzzing is het verbeteren van Linux security
Linux 4.14 release candidate vijf is uit. “Ga er op uit te testen,” zegt Linus Torvalds.
Google ‘ s Project Zero fuzzed top browsers voor bugs: Safari-gebruikers zal het niet van de resultaten
Google ‘ s Project Zero brengt de open-source tool voor het vinden van nieuwe bugs in de belangrijkste browsers.
Linux is tien jaar oude fout: Grote distro ‘ s verplaatsen naar patch ernstige kernel bug
Google fuzzer helpt bij het vinden van de 11-jarige geheugen-corruptie fout in de Linux kernel.
Verwante Onderwerpen:
Enterprise Software
Beveiliging TV
Data Management
CXO
Datacenters
0