{"id":183901,"date":"2016-11-18T02:54:51","date_gmt":"2016-11-18T01:54:51","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=183901"},"modified":"2022-06-26T16:02:48","modified_gmt":"2022-06-26T14:02:48","slug":"linux-schwachstelle-per-webseite-angreifbar","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2016\/11\/18\/linux-schwachstelle-per-webseite-angreifbar\/","title":{"rendered":"&lsquo;Linux&rsquo;-Schwachstelle per Webseite angreifbar"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/11\/Linux.jpg\" width=\"64\" align=\"left\" height=\"76\"\/>Es ist eine neue Sicherheitsl\u00fccke in Linux-Desktop-Distributionen bekannt geworden, die Fedora, aber auch Ubuntu (und weitere Distros wie Debian) bedroht. Eine Zero-Day-L\u00fccke erm\u00f6glicht es, Linux beim Besuch einer pr\u00e4parierten Webseite per Google Chrome-Browser anzugreifen. Es ist aber eine recht exotische Kombination von lausig implementierten Voreinstellungen, Fehlern in Bibliotheken und einem Media-Plugin und einem selbst vom Benutzer installierten Chrome-Browser \u2013 hat im Grunde also mit Linux als Kernel nichts zu tun. Hier ein paar Informationen.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/d02503c11cf341518329679dfece71d2\" width=\"1\" height=\"1\"\/>Linux scheint sicherheitstechnisch immer mehr kaputt zu gehen. Vor Tagen hatte ich im Beitrag <a href=\"https:\/\/borncity.com\/blog\/2016\/11\/15\/linux-sicherheitslcke-in-luks-disk-encryption\/\">Linux-Sicherheitsl\u00fccke in LUKS disk encryption<\/a> von einer Sicherheitsl\u00fccke berichtet, wo Angreifer durch h\u00e4ufiges Dr\u00fccken der Eingabetaste die Festplattenverschl\u00fcsselung aushebeln und root-Rechte per BusyBox erlangen konnten. <\/p>\n<h3>Exotische Sicherheitsl\u00fccke<\/h3>\n<p>Jetzt hat der bei Tesla angestellte Sicherheits-Experte Chris Evans eine weitere, gravierende Zero-Day-L\u00fccke aufgedeckt. Es gibt eine Integer-\u00dcberlauf-Schwachstelle im vmnc-Decorder des Medien-Framework <em>gstreamer<\/em>. Dieses wird normalerweise genutzt, um Bildschirmaufzeichnungen der Virtualisierungs-Software VMware wiederzugeben. Evans beschreibt in <a href=\"https:\/\/scarybeastsecurity.blogspot.de\/2016\/11\/0day-poc-risky-design-decisions-in.html\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Blog-Beitrag<\/a> aber eine fatale Sicherheitsl\u00fccke und liefert einen Exploit: <\/p>\n<ul>\n<li>\n<p>Ist der Chrome-Browser vom Benutzer installiert, l\u00e4dt dieser automatisch Dateien auf den Desktop, ohne beim Nutzer nachzufragen. <\/p>\n<\/li>\n<li>\n<p>Die Tracker-Software in der Linux-Distribution Fedora indiziert die heruntergeladenen Dateien und f\u00fcgt Sie zu den Media-Dateien hinzu. Der Nutzer braucht also die Downloads nicht zu \u00f6ffnen, damit diese vom Linux-Desktop \"angefasst\" werden. <\/p>\n<\/li>\n<li>\n<p>Das gstreamer-Framwork behandelt Mediendateien auf dem Fedora-Desktop aus Sicherheitsaspekten in \u00e4u\u00dferst fragw\u00fcrdiger Weise. Die Tracker-Komponente, die f\u00fcr das Parsen der Media-Dateien verantwortlich ist, l\u00e4uft nicht in einer Sandbox oder in SELinux.<\/p>\n<\/li>\n<\/ul>\n<p>In Fedora (und in Ubuntu) kommt die vmnc-Decoder f\u00fcr dieses Tracking zum Einsatz. Damit reicht es, eine Webseite mit einem Exploit zu pr\u00e4parieren und daf\u00fcr zu sorgen, dass eine Datei mit dem Exploit vom Google Chrome heruntergeladen wird. Den Rest besorgt dann der oben skizzierte Automatismus in Fedora und Ubuntu. Der Tracker st\u00fcrzt mit dem Integer-\u00dcberlauf ab.  <\/p>\n<p><a href=\"https:\/\/lh6.googleusercontent.com\/2Bzlq4c2q8n7inpoq6qgLEXzE4N9ZdRr_uzxXwav67nz_gBk7GNlXMTE-CSIowSJir9Jjtep1CkmVgRZBSq6Felwix5nZzoF5xtsvnjj3EDcOrEg2memOzIKJ1B-bjkTYXVLkx0C\" target=\"_blank\" rel=\"noopener noreferrer\"><img loading=\"lazy\" decoding=\"async\" title=\"Chrome Problem\" alt=\"Chrome Problem\" src=\"https:\/\/lh6.googleusercontent.com\/2Bzlq4c2q8n7inpoq6qgLEXzE4N9ZdRr_uzxXwav67nz_gBk7GNlXMTE-CSIowSJir9Jjtep1CkmVgRZBSq6Felwix5nZzoF5xtsvnjj3EDcOrEg2memOzIKJ1B-bjkTYXVLkx0C\" width=\"606\" height=\"471\"\/><\/a><br \/>(Quelle: <a href=\"https:\/\/scarybeastsecurity.blogspot.de\/2016\/11\/0day-poc-risky-design-decisions-in.html\" target=\"_blank\" rel=\"noopener noreferrer\">Chris Evans<\/a>)  <\/p>\n<p>Laut Evens ist es einem Angreifer m\u00f6glich (wenn auch schwierig), einen Exploit zu entwickeln und diesen f\u00fcr eigene Zwecke zu nutzen. Diese L\u00fccke l\u00e4sst sich in den Google Chrome-Einstellungen entsch\u00e4rfen, indem der Browser angewiesen wird, bei Downloads explizit beim Nutzer nachzufragen. Und die Indexierung der Dateien durch den Tracker kann deaktiviert werden. Evens stellt aber berechtigt die Frage, ob die \"Sicherheit von Linux auf dem Desktop nicht verrottet ist\" und merkt an, dass eine Standard-Installation von Windows 10 solche Kardinalfehler nicht aufweise. <\/p>\n<p>Bei Interesse lassen sich weitere Informationen in <a href=\"http:\/\/www.heise.de\/newsticker\/meldung\/Webseite-aufgerufen-Linux-gehackt-3489774.html\" target=\"_blank\" rel=\"noopener noreferrer\">diesem deutschsprachigen Artikel<\/a> von heise.de nachlesen. In den Kommentaren bei heise.de wird aber berechtigt darauf hingewiesen (siehe <a href=\"https:\/\/www.heise.de\/forum\/heise-Security\/News-Kommentare\/Webseite-aufgerufen-Linux-gehackt\/Wirklich-ein-Linux-Problem\/posting-29512937\/show\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a>), dass die hier beschriebene L\u00fccke kein Linux-Problem sei, sondern auf \"Zugaben\" in Form des Google Chrome und der verwendeten Bibliotheken auf das System geholt werde. Problem ist, dass Linux eigentlich nur den Kernel meint, Evan aber das \"Linux-Desktop-System\" mit seinen Voreinstellungen und Benutzererg\u00e4nzungen als \"Linux Sicherheitsproblem\" betitelt. Aber, in <a href=\"https:\/\/www.heise.de\/forum\/heise-Security\/News-Kommentare\/Webseite-aufgerufen-Linux-gehackt\/Pidgin-auf-Debian-testing-Stretch\/posting-29513022\/show\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Kommentar<\/a> wird auch klar, dass Debian mit Pidgin ebenfalls betroffen ist. Ein erg\u00e4nzender Artikel zum Thema, allerdings mit dem rei\u00dferischen Titel <a href=\"http:\/\/www.golem.de\/news\/chrome-gstreamer-windows-10-sicherer-als-linux-desktops-1611-124535.html\" target=\"_blank\" rel=\"noopener noreferrer\">Windows 10 sicherer als Linux-Desktops<\/a>, findet sich bei Golem. <\/p>\n<p><strong>\u00c4hnliche Artikel:<br \/><\/strong><a href=\"https:\/\/borncity.com\/blog\/2016\/11\/15\/linux-sicherheitslcke-in-luks-disk-encryption\/\">Linux-Sicherheitsl\u00fccke in LUKS disk encryption<\/a><br \/>Zombie: Flash unter Linux \"wiederbelebt\"?<br \/><a href=\"https:\/\/borncity.com\/blog\/2016\/09\/04\/fairware-die-ransomware-fr-dein-linux\/\">FairWare, die Ransomware f\u00fcr dein Linux<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2016\/08\/16\/linux-bug-setzt-14-milliarden-android-gerte-angriffen-aus\/\">Linux-Bug setzt 1,4 Milliarden Android-Ger\u00e4te Angriffen aus<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2016\/04\/22\/windows-10-sicherheitsrisiken-durch-linux-kernel\/\">Windows 10: Sicherheitsrisiken durch Linux-Kernel<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Es ist eine neue Sicherheitsl\u00fccke in Linux-Desktop-Distributionen bekannt geworden, die Fedora, aber auch Ubuntu (und weitere Distros wie Debian) bedroht. Eine Zero-Day-L\u00fccke erm\u00f6glicht es, Linux beim Besuch einer pr\u00e4parierten Webseite per Google Chrome-Browser anzugreifen. Es ist aber eine recht exotische &hellip; <a href=\"https:\/\/borncity.com\/blog\/2016\/11\/18\/linux-schwachstelle-per-webseite-angreifbar\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[95,426],"tags":[4305,5662,5663],"class_list":["post-183901","post","type-post","status-publish","format-standard","hentry","category-linux","category-sicherheit","tag-linux","tag-sicherheitsluecke-fedora","tag-ubuntu-debian"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/183901","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=183901"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/183901\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=183901"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=183901"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=183901"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}