Lek in kernel van Linux
Maakt diefstal van wachtwoorden mogelijk
Paul Starzetz van ISEC Security Research wijst op een beveiligingslek in de kernel van Linux. Dit lek maakt het mogelijk dat een kwaadwillende op het systeem van zijn slachtoffer vertrouwelijke gegevens, zoals bijvoorbeeld wachtwoorden, zonder problemen kan lezen. Aldus een artikel op breekpunt.nl
Het lek wordt volgens Starzetz veroorzaakt door een foutieve afhandeling van 64-Bit-File-Offset-Pointers. De door de kernel aan Userland-toepassingen afgegeven file-offset waarde wordt op een aantal plaatsen geconverteerd van het oude 32-bits formaat naar het nieuwe 64-bits formaat (LFS). Hierbij ontstaat het beveiligingslek.
Het is Starzetz gelukt om op deze manier een wachtwoord van een middels SSH aangemelde systeembeheerder te achterhalen.
Het lek zit in de kernel van Linux, ook in de versies 2.4.26 en 2.6.7. Starzetz geeft het advies om zo snel mogelijk een update te installeren. Die is er nog niet dus is er werk voor de makers van de verschillende Linux-distributies.
• ISEC Security Research
• Starzetz over het gevonden lek
Maakt diefstal van wachtwoorden mogelijk
Paul Starzetz van ISEC Security Research wijst op een beveiligingslek in de kernel van Linux. Dit lek maakt het mogelijk dat een kwaadwillende op het systeem van zijn slachtoffer vertrouwelijke gegevens, zoals bijvoorbeeld wachtwoorden, zonder problemen kan lezen. Aldus een artikel op breekpunt.nl
Het lek wordt volgens Starzetz veroorzaakt door een foutieve afhandeling van 64-Bit-File-Offset-Pointers. De door de kernel aan Userland-toepassingen afgegeven file-offset waarde wordt op een aantal plaatsen geconverteerd van het oude 32-bits formaat naar het nieuwe 64-bits formaat (LFS). Hierbij ontstaat het beveiligingslek.
Het is Starzetz gelukt om op deze manier een wachtwoord van een middels SSH aangemelde systeembeheerder te achterhalen.
Het lek zit in de kernel van Linux, ook in de versies 2.4.26 en 2.6.7. Starzetz geeft het advies om zo snel mogelijk een update te installeren. Die is er nog niet dus is er werk voor de makers van de verschillende Linux-distributies.
• ISEC Security Research
• Starzetz over het gevonden lek