Der Linux Kernel 2.6 ist anfällig für manipulierte ISO9660-Dateisysteme, mit denen ein Angreifer ein System kompromittieren könnte. Betroffen sind alle 2.6er-Versionen bis einschließlich 2.6.11. Der Fehler sitzt im File-System-Handler von ISO9660, Rock Ridge- und Joliet-Erweiterungen; er kann von einem Angreifer dazu genutzt werden, das System abstürzen zu lassen oder Befehle mit Ring-0-Rechten (also mit Rechten, die uneingeschränkten Zugriff auf die Hardware des Systems erlauben) auszuführen.
Sobald das präparierte Filesystem gemountet wurde, das beispielsweise von einer geliehenen CD aus zwielichtiger Quelle stammt, würde der Code ausgeführt. Selbst wenn der Nutzer sehr vorsichtig agiert, die Automount-Option abgeschaltet und keine fremde Datei gestartet hat, ließe sich so bösartiger Code ausführen. Als weiteres Anwendungsbeispiel nennt Michael Zalewski -- der Entdecker der Lücke --, dass man damit forensische Untersuchungen untergraben könnte: Wenn ein Sachbearbeiter von einem Gericht dazu beauftragt wurde, beschlagnahmte CDs zu untersuchen, könnten manipulierte Diskimages das System desjenigen infizieren oder zerstören.
Der Fehler ist im Kernel 2.6.12-rc1 bereits beseitigt. Allerdings sagt Linus Torvalds im Changelog zu 2.6.12-rc1, dass der Code in dem gepatchten isofs Schrott sei. Seinem Advisory hat Zalewski ein Script beigelegt, mit dem man testen kann, ob der Kernel Probleme mit einem ISO9660-Image hat.
Laut Securityfocus soll auch der Kernel 2.4 betroffen sein. Im Changelog zum aktuellen 2.4.30-rc1 steht aber nichts von einer Lösung.
Cheers
@Jacki:pfct:
