Eine kritische Sicherheitslücke mit der Bezeichnung CVE-2023-6246 wurde im veröffentlicht GNU-C-Bibliothek (glibc), was in der Cybersicherheitsgemeinschaft erhebliche Bedenken hervorruft. Dieser Heap-basierte Pufferüberlauffehler, der in der im August 2.37 veröffentlichten Glibc 2022 eingeführt wurde, kann böswilligen lokalen Angreifern den vollständigen Root-Zugriff auf Linux-Rechner ermöglichen. Die betroffene Bibliothek wird häufig in großen Linux-Distributionen verwendet, darunter Debian, Ubuntu und Fedora.
Erläuterung der Sicherheitslücke CVE-2023-6246
Die Schwachstelle ist auf die Funktion __vsyslog_internal() von glibc zurückzuführen, die von syslog() und vsyslog() für Systemprotokollierungszwecke verwendet wird. Laut Saeed Abbasi, Produktmanager der Threat Research Unit bei Qualys, ermöglicht dieser Fehler eine lokale Rechteausweitung und bietet unprivilegierten Benutzern die Möglichkeit, vollständigen Root-Zugriff zu erhalten. Angreifer können die Sicherheitslücke ausnutzen, indem sie speziell gestaltete Eingaben in Anwendungen verwenden, die die betroffenen Protokollierungsfunktionen verwenden.
Auswirkungen und Bedingungen
Während die Ausnutzung der Schwachstelle bestimmte Bedingungen erfordert, wie etwa ein ungewöhnlich langes argv[0]- oder openlog()-Ident-Argument, ist ihre Bedeutung aufgrund der weit verbreiteten Verwendung der betroffenen Bibliothek erheblich. Der Fehler setzt Linux-Systeme dem Risiko erhöhter Berechtigungen aus und stellt eine ernsthafte Bedrohung für die Sicherheit sensibler Daten und kritischer Infrastrukturen dar.
Weitere Mängel entdeckt
Bei der weiteren Analyse von glibc entdeckte Qualys zwei weitere Schwachstellen in der Funktion __vsyslog_internal() – CVE-2023-6779 und CVE-2023-6780. Diese Schwachstellen können zusammen mit einem dritten Fehler in der qsort()-Funktion der Bibliothek zu einer Speicherbeschädigung führen. Besonders besorgniserregend ist die Schwachstelle in qsort(), die in allen seit 1992 veröffentlichten Glibc-Versionen vorhanden ist, was die weitverbreitete Natur des Sicherheitsrisikos unterstreicht.
Langzeitfolgen
Diese Entwicklung folgt auf Qualys' vorherige Enthüllung des Looney Tunables-Fehlers (CVE-2023-4911) in derselben Bibliothek und unterstreicht die dringende Notwendigkeit strenger Sicherheitsmaßnahmen in der Softwareentwicklung. Die kumulativen Auswirkungen dieser Fehler verdeutlichen die Anfälligkeit von Kernbibliotheken, die in zahlreichen Systemen und Anwendungen weit verbreitet sind.
Fazit
Die Offenlegung kritischer Mängel in der GNU-C-Bibliothek unterstreicht die anhaltenden Herausforderungen bei der Aufrechterhaltung der Sicherheit grundlegender Komponenten in Software-Ökosystemen. Entwickler, Administratoren und Organisationen, die auf Linux-Systeme angewiesen sind, werden aufgefordert, die erforderlichen Sicherheitspatches zeitnah zu implementieren. Die rechtzeitige Anwendung von Patches ist entscheidend, um das Risiko einer lokalen Rechteausweitung und einer möglichen Kompromittierung von Linux-Systemen zu mindern.
