Was ist passiert?
Ein Sicherheitsforscher mit dem Pseudonym _SiCK hat auf Github mehrere Proof-of-Concept-Exploits veröffentlicht, die eine Schwachstelle im Speicher- und Prozessmanagement des Linux-Kernels ausnutzen. Die Lücke erlaubt es lokalen Nutzern ohne besondere Berechtigungen, unter bestimmten Bedingungen Dateien zu lesen, die eigentlich nur für den Root-Nutzer zugänglich sind. Es handelt sich bereits um die vierte Sicherheitslücke innerhalb weniger Tage, die Linux-Nutzern eine Ausweitung ihrer Privilegien ermöglicht.
Das PoC-Beispiel mit den gravierendsten Auswirkungen trägt den Namen ssh-keysign-pwn. Es liest den SSH-Private-Key der Maschine aus – eine Datei, die unter normalen Umständen ausschließlich dem Root-Nutzer zugänglich ist. Ein weiteres Beispiel nutzt das Programm „chage“, um während dessen Ausführung die Passwortdatei /etc/shadow auszulesen.
Die Details
Die Ursache der Schwachstelle liegt tief im Kernel: Die Funktion ptrace_may_access() schlägt bei Prozessen, die sich gerade im Beendigungsvorgang befinden, auf eine zu offene Art fehl (sogenanntes „fail open“). Gewinnt ein Angreifer eine Race Condition, also einen Wettlauf zwischen mehreren gleichzeitig ablaufenden Prozessen, kann er trotz fehlender Berechtigungen auf Dateien zugreifen, die der sterbende Prozess zuvor geöffnet hatte. Betroffen sind damit potenziell alle Dateien, die von Programmen mit Root-Rechten (setuid root) geöffnet werden, etwa /etc/shadow oder /etc/ssh/ssh_host_key.
Entdeckt wurde der Fehler vom Sicherheitsunternehmen Qualys. Linux-Verwalter Linus Torvalds behob ihn am späten Donnerstagnachmittag. Kurz darauf machte grsecurity-Gründer Brad Spengler in einer Kurzanalyse im sozialen Netzwerk X auf den Fehler aufmerksam, was wiederum den Ehrgeiz von _SiCK weckte, eigene Exploits zu entwickeln. Eine offizielle CVE-Kennung liegt für die Lücke bislang nicht vor.
Bemerkenswert ist, dass der Fehler bereits vor mehreren Jahren dem Google-Sicherheitsexperten Jann Horn aufgefallen war. Er hatte damals bereits einen Vorschlag zur Behebung gemacht – dieser wurde jedoch nicht umgesetzt. Der Linux-Kernel 7.0.8 enthält nun ausschließlich die Fehlerbehebung für die durch ssh-keysign-pwn ausgenutzte Sicherheitslücke. Kernelverwalter Greg Kroah-Hartman kommentierte die Situation im Fediverse mit einer selbstironischen Bemerkung über einen „großen Knopf“ auf seinem Schreibtisch zur Auslösung neuer Kernelversionen.
Einordnung
Für die Sicherheitstechnik-Branche ist diese Lücke aus mehreren Gründen relevant. Systeme zur Zutrittskontrolle, Videoüberwachung und Alarmanlagenmanagement laufen häufig auf Linux-basierten Servern oder eingebetteten Geräten. Wenn lokale Nutzer – etwa über kompromittierte Dienstkonten oder unzureichend abgesicherte Zugänge – Root-geschützte Dateien wie SSH-Schlüssel oder Passwortdateien auslesen können, öffnet dies Tür und Tor für weiterführende Angriffe auf die gesamte Infrastruktur.
Besonders kritisch ist der Umstand, dass die Schwachstelle nicht neu ist: Sie war bereits vor Jahren bekannt, wurde jedoch nicht behoben. Das zeigt exemplarisch, wie wichtig kontinuierliches Patch-Management auch für vermeintlich stabile und ausgereifte Systeme bleibt. Da die Lücke prinzipiell für jede ausführbare Datei mit Root-Rechten (setuid root) denkbar ist, ist die Angriffsfläche potenziell breit gefächert und nicht auf die bisher veröffentlichten PoC-Beispiele beschränkt.
Praxis-Tipps
- Systemverwalter können übergangsweise mit dem Kommando „echo 3 > /proc/sys/kernel/yama/ptrace_scope“ Abhilfe für alle bisher bekannten Fälle der Sicherheitslücke schaffen.
- Der offizielle Fix ist bereits im Linux-Kernel 7.0.8 enthalten – betroffene Systeme sollten zeitnah aktualisiert werden, sobald die jeweilige Distribution ein entsprechendes Kernelpaket bereitstellt.
- Bis zur Verfügbarkeit gepatchter Distributionspakete sollte der genannte Workaround insbesondere auf Servern mit sensiblen Zugangsdaten (SSH-Keys, Passwortdateien) und auf sicherheitskritischen Systemen wie Zutrittskontroll- oder Videoüberwachungsservern priorisiert umgesetzt werden.
- Grundsätzlich empfiehlt sich eine Überprüfung, welche lokalen Nutzerkonten auf betroffenen Systemen überhaupt Zugriff haben, um die Angriffsfläche für Race-Condition-Exploits generell zu reduzieren.
Ausblick
Da große und kleinere Linux-Distributionen den Fix nun in neue Kernelpakete einarbeiten und ausliefern müssen, ist erfahrungsgemäß mit einer gewissen Verzögerung zu rechnen, bis alle produktiven Systeme abgesichert sind. In dieser Übergangsphase bleibt der beschriebene Workaround über die Yama-ptrace-Einstellung die wichtigste Sofortmaßnahme für Administratoren.
Angesichts der Tatsache, dass es sich bereits um die vierte vergleichbare Sicherheitslücke innerhalb weniger Tage handelt, ist davon auszugehen, dass sich Sicherheitsforscher und Kernel-Entwickler weiterhin intensiv mit dem Speicher- und Prozessmanagement des Linux-Kernels befassen werden. Für Betreiber sicherheitskritischer Infrastruktur – von Alarmanlagen über Videoüberwachungssysteme bis hin zu Zutrittskontrolllösungen – unterstreicht der Vorfall die Notwendigkeit, Patch-Management-Prozesse eng zu takten und auch scheinbar kleinere Kernel-Updates zeitnah einzuspielen.
