Een nieuwe beveiligingsfout heeft gevolgen voor de meeste Linux- en BSD-distros. Het probleem ligt in de escalatie van toestemmingen en zou relatief eenvoudig op te lossen moeten zijn. Maar momenteel is het een wijdverspreide fout, die impact heeft op een groot aantal systemen.
De Linux- en BSD-varianten die gebruik maken van het populaire X.Org Server-pakket zijn allemaal kwetsbaar voor de nieuwe beveiligingsfout. Aangezien veruit de meeste distros gebruik maken van dit pakket, zijn ook de meeste varianten kwetsbaar. Dankzij de beveiligingsfout kan een aanvaller met beperkte toegang tot een systeem, via een terminal of een SSH-sessie privileges verhogen of root access verkrijgen.
Cruciale data bewerken
De kwetsbaarheid kan niet gebruikt worden om in te breken op beveiligde apparaten, maar is wel nuttig voor aanvallers die zo meer uit hun hack kunnen halen. De kwetsbaarheid zal snel aangepakt moeten worden door Linux- en BSD-ontwikkelaars, aangezien deze in het X.Org Server pakket zit. Dat is een graphics en windowing-technologie die als basis dienst voor de bekende KDE- en GNOME desktopinterfaces en in alle grote Linux- en BSD-distros gebruikt wordt die gebruikers een windows-gebaseerde interface bieden.
Veiligheidsonderzoeker Nrendra Shinde meldt dat de kwetsbaarheid aanvallers ertoe in staat stelt privileges op te hogen en bestanden op het lokale systeem – zelfs cruciale OS-gegevens – te bewerken. Het probleem, dat CVE-2018-14665 heet – wordt veroorzaakt doordat twee commandline-opties niet correct verwerkt worden. De fout zit in -logfile en -modulepath en stelt een aanvaller ertoe in staat eigen code toe te voegen.
Er is al een fix
De exploit van deze kwetsbaarheid werkt alleen als X.Org Server ingesteld is om met root priviliges te draaien. Dat is een veelvoorkomende set-up voor distros. Ontwikkelaars van de X.Org Foundation hebben al een nieuwe versie, 1.20.3, uitgebracht om het probleem op te lossen. Binnen de fix wordt ondersteuning voor de twee commandline-opties simpelweg verwijderd.
Distros als CentOS, Debian, Red Hat Enterprise Linux en Ubuntu worden getroffen door de problemen. Updates met het gepatchte X.Org Server-pakket worden op korte termijn verwacht.
17 uur geleden
