Ubuntu hat diese Woche einen Linux-Fehler behoben, durch den ein Angreifer einen Denial-of-Service verursacht oder beliebigen Code mit einer TCP-Nutzlast ausgeführt haben könnte.
Die Entwickler von Canonical haben diese Woche eine Handvoll Patches für das Linux-basierte Betriebssystem Ubuntu herausgebracht, darunter einen, der einen Fehler behebt, der einen Angreifer eine Dienstverweigerung (Denial of Service) oder die Ausführung von beliebigem Code mit einer TCP-Nutzlast hätte verursachen können.
Chris Coulson, ein Software- und Elektronik-Ingenieur des Unternehmens, entdeckte die Schwachstelle, ein Out-of-Bounds-Schreiben (CVE-2017-9445) in Ubuntu's systemgesteuertem Systemdienst. Der Dienst - ein Init-System, das in Linux-Distributionen verwendet wird - ist ein Netzwerknamensauflösungs-Manager und hilft bei der Bereitstellung von Netzwerknamensauflösung für lokale Anwendungen.
Coulson warnte Anfang der Woche, dass der Fehler jede Linux-Distribution betreffen könnte, auf der eine ungepatchte Version von systemd läuft.
Wenn ein Angreifer einen böswilligen DNS-Server verwendet, könnte er den Fehler über eine speziell gestaltete TCP-Nutzlast ausnutzen, schrieb Coulson am Dienstag. Coulson sagt, dass bestimmte Nutzlasten benutzt werden können, um den Dienst dazu zu bringen, einen zu kleinen Puffer zuzuweisen, etwas, das beliebige Daten über das Ende des Puffers hinaus schreibt.
Seiner Meinung nach wurde der Fehler in Version 223 von systemd eingeführt, die bereits im Juni 2015 begangen wurde, und betrifft alle nachfolgenden Versionen, einschließlich 233, die im März dieses Jahres veröffentlicht wurden.
Canonical hat den Fehler als "hoch" eingestuft und warnt davor, dass das Problem die Versionen 17.04 und 16.10 von Ubuntu betrifft. Das Unternehmen hat am Dienstag die Systempatches für die Versionen 232-21ubuntu5 und 231-9ubuntu5 veröffentlicht, so dass Benutzer ihre Systeme aktualisieren können.
Da systembedingte Zahlen in andere Linux-Distributionen wie Debian Linux, Red Hats Fedora und openSUSE einfließen, sollten die Nutzer unabhängig voneinander überprüfen, ob sie betroffen sind oder nicht.
Nur die "stretch"- und "buster"- und "sid"-Veröffentlichungen von Debian werden laut Debians Fehlerdatenbank zu diesem Thema als verwundbar angesehen. Debian betonte, dass Coulsons Fehler nur ein geringfügiges Problem für Debian-"stretch"-Benutzer sei, da systemgelöst standardmäßig in diesem Build deaktiviert wird. Der verwundbare Code ist in Debian-"Jessie"- und "wheezy"-Builds nicht vorhanden.
Es scheint, dass Fedora 25 eine Aktualisierung, FEDORA-2017-29d909f5ec, für das Problem am Mittwoch erhalten hat.
Coulson's Out-of-bounds-Schreibproblem war eines von vielen behobenen Problemen in Ubuntu-Builds dieser Woche.
Am Montag wurden mehrere Apache-HTTP-Server-Schwachstellen in Ubuntu 17.04, 16.10 und 16.04 LTS sowie 14.04 LTS behoben. Die Fehler hätten zu einer Umgehung der Authentifizierungsanforderungen oder zu Denial-of-Service-Szenarien führen können.
Eine Reihe von Linux-Kernel-Schwachstellen, darunter einige, die zur Ausführung von beliebigem Code und Denial-of-Service-Situationen in einigen derselben Builds - in 17.04, 12.04 LTS, 16.10 - führen könnten, wurden am Donnerstag ebenfalls gepatcht.
