Sicherheitslücke erlaubt Remote Code-Ausführung
Sicherheitswarnung zur Schwachstelle "Ghost" in Linux-Systemen
Die gravierende Sicherheitslücke in der Linux GNU-C-Bibliothek ermöglicht Angreifern, ohne System-Anmeldeinformationen die Kontrolle zu übernehmen - Patches ab sofort verfügbar
Qualys gibt bekannt, dass ihre Sicherheitsforscher eine kritische Sicherheitslücke in der GNU-C-Bibliothek (glibc) unter Linux entdeckt haben. Die Lücke versetzt Angreifer in die Lage, aus der Ferne ein gesamtes System zu übernehmen, ohne sich zuvor Anmeldeinformationen für das System verschafft zu haben. Qualys hat in enger, koordinierter Zusammenarbeit mit den Anbietern von Linux-Distributionen einen Patch für alle betroffenen Distributionen entwickelt, der ab sofort bei den jeweiligen Distributoren verfügbar ist.
Die Sicherheitslücke trägt den Namen Ghost (CVE-2015-0235), da sie mithilfe der Funktion "gethostbyname" ausgelöst werden kann. Sie betrifft zahlreiche Linux-basierende Systeme ab der Version glibc-2.2, die am 10. November 2000 herausgegeben wurde. Sicherheitsforscher von Qualys haben zudem eine Reihe von Faktoren ermittelt, die die Auswirkungen dieses Bugs entschärfen können. Dazu zählt ein Fix, der am 21. Mai 2013 zwischen der Veröffentlichung von glibc-2.17 und glibc-2.18 bereitgestellt wurde. Dieser Fix wurde jedoch nicht als Sicherheitswarnung klassifiziert, weshalb eine Reihe der stabilsten, langfristig unterstützten Distributionen, darunter Debian 7 (wheezy), Red Hat Enterprise Linux 6 & 7, CentOS 6 & 7 und Ubuntu 12.04, weiter anfällig blieben.
Kunden von Qualys können Ghost finden, indem sie mit der Cloud-Lösung Qualys Vulnerability Management (VM) beim nächsten Scanzyklus auf die QID 123191 scannen. Dann erhalten sie Berichte mit detaillierten Informationen über ihre unternehmensweite Anfälligkeit. Auf diese Weise können sie sich einen Überblick über die Auswirkungen auf ihr Unternehmen verschaffen und die Beseitigung dieser gravierenden Schwachstelle effizient verfolgen.
"Ghost ist eine Sicherheitslücke, die Remote Code-Ausführung erlaubt. Dies macht es für einen Angreifer äußerst einfach, einen Rechner auszunutzen. Zum Beispiel könnte ein Angreifer eine einfache E-Mail auf einem Linux-basierten System senden und automatisch vollständigen Zugriff auf diesen Rechner erhalten", erklärt Wolfgang Kandek, Chief Technical Officer bei Qualys, Inc. "Angesichts der schieren Zahl von Systemen, die auf glibc basieren, betrachten wir diese Schwachstelle als gravierendes Sicherheitsleck, das sofort geschlossen werden sollte. Um das Risiko zu entschärfen, sollten die Anwender am besten einen Patch ihres Linux-Anbieters installieren." (Qualys: ra)
Qualys: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
Achtung: Sicherheitslücke in OpenSSL
"Heartbleed", der Programmierfehler in OpenSSL, betrifft geschätzt zwei Drittel aller Webseiten. OpenSSL schützt die Kommunikation zwischen Nutzern und Servern. Dieser Fehler macht es Hackern möglich, sensible Daten zu extrahieren, beispielsweise Nutzernamen, Passwörter und andere wichtige Informationen. Hier erfahren Sie alles über "Heartbleed" und wie Sie sich schützen können.
15.04.14 - Sicherheitslücke in OpenSSL: Versions-Upgrade und Einsatz von Forward Secrecy dringend empfohlen
15.04.14 - Die Sicherheitslücke HeartBleed lässt sich auf einfache Weise ausnützen, und es gibt bereits zahlreiche Proof-of-Concept-Tools
15.04.14 - Keine Heartbleed-Schwachstelle bei ZyXEL-UTM-Firewall-Appliances
15.04.14 - Hintergrundinformationen: Erste Zahlen zu Heartbleed bei Android
15.04.14 - McAfee zu Heartbleed: Ändern Sie Ihr Passwort – nicht. Testen Sie erst !
15.04.14 - Informationen zur Heartbleed-Sicherheitslücke: Rund 1.300 Apps in Google Play betroffen
15.04.14 - "Heartbleed": In sieben Schritten Sicherheitslücke schließen
15.04.14 - Geräte von Lancom Systems nicht von "Heartbleed" betroffen
15.04.14 - Heartbleed Bug: bintec elmeg Produkte ohne Sicherheitslücke
15.04.14 - F5 mildert Auswirkungen des Heartbleed-Bug: Es besteht meist geringer oder kein Handlungsbedarf für Kunden