Zwei neu entdeckte Schwachstellen gefährden aktuell bestimmte Linux-Distributionen. Die Sicherheitsforscher von Qualys haben Race Conditions in den Komponenten apport und systemd-coredump identifiziert. Sie wurden unter den CVE-Nummern CVE-2025-5054 und CVE-2025-4598 veröffentlicht und ermöglichen es lokalen Angreifern, auf Speicherabzüge privilegierter Prozesse zuzugreifen.
CVE-2025-5054 betrifft die apport-Komponente, die bei Ubuntu zum Einsatz kommt – konkret Versionen bis einschließlich 2.32.0. Die Lücke erlaubt es, über das gezielte Abstürzen eines SUID-Programms und schnelles Platzieren eines neuen Prozesses mit derselben ID sensible Speicherinhalte auszulesen. Diese enthalten unter Umständen Passwörter oder Tokens.
CVE-2025-4598 konzentriert sich auf systemd-coredump, wie es unter anderem bei Red Hat Enterprise Linux eingesetzt wird. Dort analysiert das Tool Speicherabzüge abgestürzter Prozesse. Auch hier ist eine Race Condition ausnutzbar, um auf die Core Dumps privilegierter Programme zuzugreifen. Debian ist standardmäßig nicht betroffen, da es systemd-coredump nicht automatisch installiert. Ubuntu ist laut Canonical in diesem Fall ebenfalls nicht verwundbar.
Red Hat bewertet das Risiko als „moderat“. Die Ausnutzung gilt als technisch anspruchsvoll, weil der Angreifer lokal sein und den Wettlauf gegen den Kernel gewinnen muss. Dennoch ist der Zugriff auf Core Dumps eines SUID-Programms wie unix_chkpwd sicherheitstechnisch relevant, da sie z. B. Inhalte der Datei /etc/shadow offenlegen können.
Qualys hat für beide CVEs funktionierende Beispielcodes entwickelt, um die Ausnutzbarkeit zu belegen. Wer nicht sofort patchen kann, könnte (Hinweis: Auf eigenes Risiko!) vorübergehend den Befehl:
echo 0 > /proc/sys/fs/suid_dumpableals Root ausführen. Das verhindert, dass SUID-Programme nach einem Absturz Core Dumps erzeugen. Damit wird das Angriffsszenario effektiv unterbunden, bis ein dauerhaftes Update vorliegt.
Canonical betont, dass sich der Angriff nur auf Speicherbereiche des SUID-Programms bezieht. Der praktische Nutzen für Angreifer sei daher begrenzt. Dennoch zeigt der Fall, wie wichtig eine sorgfältige Crash-Dump-Verwaltung in modernen Linux-Systemen bleibt.
Schreibe einen Kommentar