Linux-Leck bedroht Fedora- und Ubuntu-Desktops

Einige größere Linux-Distibutionen leiden an einem Zero-Day-Exploit, der sich über einen Drive-by-Angriff ausnutzen lässt. Gefährdet sind laut dem Sicherheitsforscher Chris Evans die Distributionen Fedora 25 und Ubuntu. Ein Angreifer muss dafür sein Opfer lediglich dazu bringen, eine spezielle Musikdatei zu öffnen.

Besonders gefährdet scheinen vor allem die Desktop-Versionen zu sein. Auf Servern lasse sich das Leck in den meisten Fällen wohl nicht ausnutzen, wie Evans erklärt. Evans hat übrigens bereits vor wenigen Wochen ein ähnliches schwerwiegendes Leck öffentlich gemacht. Er wolle damit belegen, dass Sicherheitslecks in Linux nicht nur theoretischer Natur sind. Daher habe er sich auch entschieden, den Exploit zu veröffentlichen, um eine neue Sicherheitsdiskussion anzustoßen.

Im aktuellen Fall geht es um einen Fehler in der Software Game Music Emulation und libgme, über die Audio-Files aus älteren Spiel-Consolen emuliert werden können. Die Audio-Dateien werden im SPC-Format codiert, das im Super Nintendo Entertainment System zum Einsatz kam. Darin wird auch der Sony SPC-Prozessor emuliert, der allerdings an einem Heap-Overflow leidet. Der Angreifer muss lediglich die Endung dieser Datei von .spc auf .flac oder .mp3 ändern. GSteamer und Game Music Emu öffnen diese Dateien dann automatisch.

Mit dem Exploit über die  .flac-Endung muss ein Nutzer von Fedora 25 eine Webseite besuchen und lediglich einen Klick ausführen. Im Beispiel-Exploit wird der Rechner geöffnet. Jedoch könnte ein Angreifer theoretisch jeden beliebigen Code auf dem Rechner ausführen und das mit den gleichen Rechten wie der angemeldete Nutzer.

Normalerweise sind Linux-Nutzer nicht als Root angemeldet, dennoch könnte auf diese Weise wertvolle Informationen gestohlen werden. Der Exploit bleibt auch nach einem Neustart bestehen. Kombiniert man diesen Exploit mit anderen, kann sich ein Angreifer auch Root-Rechte verschaffen.

Der zweite Exploit mit der Endung .mp3 lässt sich darüber ausnutzen, dass das Opfer die Datei in einem Dateiordner anschaut oder darauf klickt. Auch hier lasse sich das Exploit so modifizieren, dass beliebiger Code auf das angegriffene System geladen werden kann.

Getestet wurde das auf Ubuntu 16.04 LS und Fedora 25. Auf den beiden Systemen arbeite das Exploit “100 Prozent zuverlässig”, wie evans in einem Blog mitteilt. Allerdings sind wahrscheinlich auch zahlreiche andere Distributionen verwundbar.

Gerade Mediaplayer stellen häufig ein großes Sicherheitsproblem dar. Doch wie es scheint verfügen die Anwendungen Game Music Emu und der GNOME-Desktop-Video-Player GSteamer nicht über Sandboxing-Technologien. In Chrome sind Sandboxing-Funktionen enthalten, allerdings liefert der Browser keine Technologie, über die Entwickler Sandboxing-Technologien implementieren können.