Die gute Nachricht ist, dass der sieben Jahre alte Sicherheitsfehler im Polkit von Linux systemd, der in vielen Linux-Distributionen verwendet wird, gepatcht wurde. Die schlechte Nachricht ist, dass es überhaupt jemals da war. Polkit, das systemd anstelle von sudo verwendet, ermöglicht es nicht autorisierten Benutzern, privilegierte Prozesse auszuführen, die sie sonst nicht ausführen könnten. Es stellte sich heraus, dass Sie Polkit auch missbrauchen können, um Root-Zugriff auf ein System zu erhalten.
Können Sie “Au!” sagen?
Die Macht, Root-Rechte zu erlangen, ist das ultimative Übel in Unix- und Linux-Systemen. Kevin Backhouse, ein Mitglied des GitHub Security Lab, hat die Polkit-Sicherheitslücke im Rahmen seiner Aufgaben entdeckt. Er enthüllte es den Polkit-Maintainern und dem Sicherheitsteam von Red Hat. Als dann am 3. Juni 2021 ein Fix veröffentlicht wurde, wurde dieser als CVE-2021-3560 veröffentlicht.
Backhouse stellte fest, dass ein nicht autorisierter lokaler Benutzer mit einigen Standard-Shell-Tools wie bash, kill und dbus-send leicht eine Root-Shell auf einem System erhalten konnte. Seltsamerweise ist der Fehler zwar schon ziemlich alt, wurde aber erst seit kurzem in den beliebtesten Linux-Distributionen ausgeliefert. Wenn Sie beispielsweise Red Hat Enterprise Linux (RHEL) 7 ausführen; Debian 10; oder Ubuntu 18.04; Sie sind für diese Sicherheitslücke unverwundbar. Wenn Sie jedoch das neuere RHEL 8 verwenden, werden Debian-Tests; oder Ubuntu 20.04, können Sie damit angegriffen werden.
Warum? Weil dieser fehlerhafte Code in den meisten Linux-Distributionen nicht verwendet wurde. Vor kurzem wurde der anfällige Code jedoch in die Versandversionen von polkit zurückportiert. Einer alten Sicherheitslücke wurde neues Leben eingehaucht.
Das ist nicht der einzige Grund, warum sich dieser Fehler so lange in Sichtweite versteckte. Backhouse erklärte, dass die Sicherheitslücke nicht jedes Mal ausgelöst wird, wenn Sie Programme ausführen, die sie aufrufen können. Warum? Es stellt sich heraus, dass polkit den dbus-daemon mehrmals auf verschiedenen Codepfaden nach der UID [Benutzer-ID] des anfordernden Prozesses fragt. Die meisten dieser Codepfade behandeln den Fehler korrekt, einer von ihnen jedoch nicht. Wenn Sie den Befehl dbus-send vorzeitig beenden, wird er von einem der richtigen Codepfade verarbeitet und die Anfrage wird abgelehnt. Um den anfälligen Codepfad auszulösen, müssen Sie die Verbindung genau im richtigen Moment trennen. Und da mehrere Prozesse involviert sind, variiert der Zeitpunkt für diesen “richtigen Moment” von einem Lauf zum nächsten. Deshalb dauert es normalerweise ein paar Versuche, bis der Exploit erfolgreich ist. Ich vermute, dies ist auch der Grund, warum der Fehler nicht zuvor entdeckt wurde.
Es ist eine hinterhältige Kleinigkeit.
Aber wenn Backhouse sagte, dass es nicht immer ausgenutzt werden kann, ist das kein Grund, sich keine Sorgen zu machen. Sie können ganz einfach ein Skript schreiben, das es nach einigen Minuten des Versuchs sicher aktiviert. Red Hat warnt: “Die größte Bedrohung durch diese Sicherheitsanfälligkeit besteht in der Vertraulichkeit und Integrität von Daten sowie der Systemverfügbarkeit.”
Daher, wie Backhouse betont, ist es wichtig, dass Sie Ihre Linux-Installationen so schnell wie möglich aktualisieren, da es “sehr einfach und schnell auszunutzen ist”.
Sie wissen also, was Sie jetzt richtig tun müssen? Machen Sie sich mit dem Patchen an die Arbeit: Sie sollten Polkit auf Version 0.119 oder höher aktualisieren.
Verwandte Geschichten:
CloudLinux veröffentlicht UChecker-Sicherheitstool für Linux-ServerLinux und Open- Quell-Communitys stellen sich der Cybersicherheitsherausforderung von Biden
Schwere Sicherheitslücken in Linux-Netzwerken gefunden, behoben
Verwandte Themen:
Unternehmenssoftware-Sicherheit TV-Datenverwaltung CXO-Rechenzentren 