{"id":312829,"date":"2025-06-19T00:03:51","date_gmt":"2025-06-18T22:03:51","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=312829"},"modified":"2025-06-19T00:07:51","modified_gmt":"2025-06-18T22:07:51","slug":"kritische-schwachstellen-in-linux-systemen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/06\/19\/kritische-schwachstellen-in-linux-systemen\/","title":{"rendered":"Kritische Schwachstellen CVE-2025-6018 und CVE-2025-6019 in Linux-Systemen"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"margin: 0px 10px 0px 0px; display: inline; float: left;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/11\/Linux.jpg\" width=\"64\" height=\"76\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2025\/06\/19\/critical-vulnerabilities-cve-2025-6018-and-cve-2025-6019-in-linux-systems\/\" target=\"_blank\" rel=\"noopener\">English<\/a>]Sicherheitsforscher von Qualys TRU haben zwei verkn\u00fcpfte, kritische Schwachstellen in Linux aufgedeckt. Ausgehend von SUSE 15 f\u00fchrt die LPE-Kette bei Standardkonfigurationen vieler Linux-Distributionen direkt zum Root-Zugriff.<\/p>\n<p><!--more--><\/p>\n<p>Qualys TRU (Threat Research Unit), die Forschungsabteilung von Qualys, Inc. (Anbieter von Cloud-basierten IT-, Sicherheits- und Compliance-L\u00f6sungen), hat zwei eng miteinander verkn\u00fcpfte Schwachstellen (CVE-2025-6018 und CVE-2025-6019) entdeckt.<\/p>\n<ul>\n<li><a href=\"https:\/\/ubuntu.com\/security\/CVE-2025-6018\" target=\"_blank\" rel=\"noopener\">CVE-2025-6018:<\/a> LPE from unprivileged to allow_active in *SUSE 15's PAM<\/li>\n<li><a href=\"https:\/\/ubuntu.com\/security\/CVE-2025-6019\" target=\"_blank\" rel=\"noopener\">CVE-2025-6019<\/a>: LPE from allow_active to root in libblockdev via udisks<\/li>\n<\/ul>\n<p>Deren Kombination erm\u00f6glicht es Angreifern, Root-Zugriff auf Linux-Systeme mit Standardkonfiguration zu erlangen.<\/p>\n<h2>Details zu den Schwachstellen<\/h2>\n<p>Die erste Schwachstelle (CVE-2025-6018) befindet sich in der PAM-Konfiguration von openSUSE Leap 15 und SUSE Linux Enterprise 15. Ein nicht privilegierter lokaler Nutzer, beispielsweise \u00fcber eine SSH-Verbindung, kann diese Schwachstelle ausnutzen, um sich den Status eines \"allow_active\"-Nutzers zu verschaffen und anschlie\u00dfend polkit-Aktionen auszuf\u00fchren, die normalerweise nur physisch anwesenden Nutzern vorbehalten sind.<\/p>\n<p>Die zweite Schwachstelle (CVE-2025-6019) betrifft <em>libblockdev,<\/em> l\u00e4sst sich \u00fcber den udisks-Daemon ausnutzen, der in den meisten Linux-Distributionen standardm\u00e4\u00dfig enthalten ist, und erm\u00f6glicht es einem \"allow_active\"-Nutzer, vollst\u00e4ndige Root-Rechte zu erlangen. W\u00e4hrend CVE-2025-6019 f\u00fcr sich allein genommen den vorhandenen \"allow_active\"-Status voraussetzt, kann durch die Kombination mit CVE-2025-6018 selbst ein vollst\u00e4ndig unprivilegierter Angreifer Root-Zugriff erlangen.<\/p>\n<p>Die Schwachstelle in <em>libblockdev\/udisks<\/em> ist von besonderer Relevanz. Zwar erfordert sie nominell den Status \"allow_active\", jedoch ist der udisks-Daemon auf nahezu allen Linux-Distributionen standardm\u00e4\u00dfig installiert, wodurch fast alle Systeme potenziell angreifbar sind. Techniken zur Erlangung des \"allow_active\"-Status, einschlie\u00dflich der hier beschriebenen PAM-Schwachstelle, beseitigen diese H\u00fcrde faktisch. Ein Angreifer kann beide Schwachstellen kombinieren und mit minimalem Aufwand Root-Zugriff erlangen. Aufgrund der weiten Verbreitung von udisks und der einfachen Ausnutzbarkeit dieser Angriffskette sollten Unternehmen diese Bedrohung als kritisch und universell einstufen und die verf\u00fcgbaren Sicherheitsupdates umgehend einspielen.<\/p>\n<p>Die Qualys Threat Research Unit (TRU) hat Proof-of-Concept-Exploits entwickelt, um diese Schwachstellen auf verschiedenen Betriebssystemen zu validieren. Dabei konnte die libblockdev\/udisks-Schwachstelle erfolgreich auf Ubuntu, Debian, Fedora und openSUSE Leap 15 ausgenutzt werden.<\/p>\n<h2>Funktionsweise von PAM und udisks\/libblockdev<\/h2>\n<p><strong>PAM-Konfiguration in openSUSE\/SLE 15:<\/strong> Das Pluggable Authentication Modules (PAM) Framework steuert, wie sich Nutzer auf Linux-Systemen authentifizieren und Sitzungen starten. In openSUSE\/SLE 15 ist der PAM-Stack so konfiguriert, dass er bestimmt, welche Nutzer als \"aktiv\" gelten \u2014 also physisch am System anwesend \u2014 und damit bestimmte privilegierte Aktionen ausf\u00fchren d\u00fcrfen. Eine Fehlkonfiguration kann dazu f\u00fchren, dass jede lokale Anmeldung, einschlie\u00dflich \u00fcber SSH, so behandelt wird, als s\u00e4\u00dfe der Nutzer direkt an der Konsole. Dieser \"allow_active\"-Status erlaubt normalerweise Zugriff auf bestimmte polkit-Operationen, die physisch anwesenden Nutzern vorbehalten sind. Wird dieser Mechanismus falsch angewendet, k\u00f6nnen nicht privilegierte Nutzer Aktionen ausf\u00fchren, die ihnen eigentlich nicht gestattet sein sollten.<\/p>\n<p><strong>udisks-Daemon und libblockdev:<\/strong> Der udisks-Dienst l\u00e4uft standardm\u00e4\u00dfig auf den meisten Linux-Systemen und bietet \u00fcber D-Bus eine Schnittstelle zur Speicherverwaltung \u2014 darunter das Mounten, Abfragen und Formatieren von Datentr\u00e4gern. Intern greift udisks auf libblockdev zu, eine Bibliothek zur Verarbeitung von Blockger\u00e4teoperationen auf niedriger Ebene. Eine \u00fcber udisks erreichbare Schwachstelle in libblockdev erm\u00f6glicht es jedem Nutzer mit \"allow_active\"-Status, direkt Root-Rechte zu erlangen. Da udisks so weit verbreitet ist, ist das Verst\u00e4ndnis seiner Funktion und der Abh\u00e4ngigkeit von libblockdev entscheidend. udisks fungiert dabei als Bindeglied zwischen den Sitzungsrechten eines Nutzers und den Verwaltungsfunktionen f\u00fcr Ger\u00e4te. Eine Schwachstelle an dieser Stelle kann vollst\u00e4ndige Systemkontrolle erm\u00f6glichen.<\/p>\n<h2>M\u00f6gliche Auswirkungen<\/h2>\n<p>Diese modernen \"local-to-root\"-Exploits \u00fcberbr\u00fccken die L\u00fccke zwischen einem gew\u00f6hnlichen eingeloggten Nutzer und einer vollst\u00e4ndigen System\u00fcbernahme. Durch das Verketten legitimer Dienste wie udisks-Loop-Mounts und Besonderheiten in der PAM- und Umgebungs-Konfiguration k\u00f6nnen Angreifer mit einer aktiven GUI- oder SSH-Sitzung die Vertrauensgrenze von polkit (\"allow_active\") \u00fcberwinden und sich innerhalb von Sekunden Root-Rechte verschaffen. Daf\u00fcr sind keine exotischen F\u00e4higkeiten notwendig, denn alle verwendeten Komponenten sind in g\u00e4ngigen Linux-Distributionen und deren Server-Varianten vorinstalliert.<\/p>\n<p>Root-Zugriff stellt die schwerwiegendste Art von Schwachstelle dar. Ein Angreifer kann damit unbemerkt EDR-Agenten deaktivieren, Kernel-Backdoors f\u00fcr persistente Codeausf\u00fchrung installieren oder Systemkonfigurationen manipulieren, die Neustarts \u00fcberdauern. Solche kompromittierten Server k\u00f6nnen als Ausgangspunkt f\u00fcr laterale Bewegungen im Netzwerk dienen. Exploits, die auf standardm\u00e4\u00dfig installierte Serverpakete abzielen, k\u00f6nnen sich von einem einzelnen kompromittierten System auf ganze Flotten ausbreiten. Um dieses Risiko zu verringern, sollten systemweit Updates eingespielt und Sicherheitsma\u00dfnahmen wie polkit-Regeln und Loop-Mount-Policies versch\u00e4rft werden. Diese breit angelegte Strategie hilft, eine erste Kompromittierung einzud\u00e4mmen und das gesamte Netzwerk zu sch\u00fctzen.<\/p>\n<h2>Absicherung gegen die libblockdev\/udisks-Schwachstelle<\/h2>\n<p>Die Standard-Polkit-Richtlinie f\u00fcr die Aktion \"org.freedesktop.udisks2.modify-device\" erlaubt es m\u00f6glicherweise jedem aktiven Nutzer, Ger\u00e4te zu ver\u00e4ndern. Diese Konfiguration kann ausgenutzt werden, um Sicherheitsmechanismen zu umgehen. Um dies zu verhindern, sollte die Richtlinie so angepasst werden, dass f\u00fcr diese Aktion eine Authentifizierung durch einen Administrator erforderlich ist.<\/p>\n<p>Zur Minderung dieser Schwachstelle sollte die Polkit-Regel f\u00fcr \"org.freedesktop.udisks2.modify-device\" angepasst werden. Der Wert f\u00fcr \"allow_active\" sollte von \"yes\" auf \"auth_admin\" ge\u00e4ndert werden. Dar\u00fcber hinaus sollten stets verf\u00fcgbare Sicherheitsupdates priorisiert und die konkreten Empfehlungen der jeweiligen Linux-Distribution beachtet werden.<\/p>\n<h2>Fazit<\/h2>\n<p>Durch die Kombination von CVE-2025-6018 und CVE-2025-6019 kann sich ein SSH-Nutzer auf SUSE 15\/Leap 15 mit Standardkonfiguration von einem normalen Nutzer in einen Root-Nutzer verwandeln. Eine Schwachstelle verschafft den \"allow_active\"-Status, die andere nutzt diesen Status aus, um vollst\u00e4ndige Root-Rechte zu erlangen \u2014 und zwar mit vorinstallierten Komponenten. Root-Zugriff erlaubt es, Sicherheitsagenten zu manipulieren, Persistenz herzustellen und sich lateral im Netzwerk zu bewegen. Ein ungepatchter Server kann somit ein Risiko f\u00fcr eine gesamte Infrastruktur darstellen. Sowohl PAM als auch libblockdev\/udisks sollten daher auf allen Systemen umgehend aktualisiert werden.<\/p>\n<p>Die technischen Details zu den Schwachstellen finden sich auf <a href=\"https:\/\/blog.qualys.com\/vulnerabilities-threat-research\/2025\/06\/17\/qualys-tru-uncovers-chained-lpe-suse-15-pam-to-full-root-via-libblockdev-udisks\" target=\"_blank\" rel=\"noopener\">dieser Seite<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Sicherheitsforscher von Qualys TRU haben zwei verkn\u00fcpfte, kritische Schwachstellen in Linux aufgedeckt. Ausgehend von SUSE 15 f\u00fchrt die LPE-Kette bei Standardkonfigurationen vieler Linux-Distributionen direkt zum Root-Zugriff.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[95,426],"tags":[4305,4328],"class_list":["post-312829","post","type-post","status-publish","format-standard","hentry","category-linux","category-sicherheit","tag-linux","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/312829","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=312829"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/312829\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=312829"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=312829"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=312829"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}