Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Linux-Kernel >= 2.6.38
Linux-Kernel <= 4.14 Betroffene Plattformen: GNU/Linux Red Hat Fedora 26 Red Hat Fedora 27 Ein lokaler, nicht authentisierter Angreifer kann eine Schwachstelle im Linux-Kernel ausnutzen, um die Integrität des betroffenen Systems zu beeinträchtigen, seine Privilegien zu eskalieren oder einen Denial-of-Service (DoS)-Zustand zu bewirken. Die Schwachstelle steht im Zusammenhang mit dem unvollständigen Patch der unter dem Namen 'Dirty COW' bekannt gewordenen Schwachstelle CVE-2016-5159, ist aber weniger schwerwiegend. Trotzdem sollten verfügbare Sicherheitsupdates aufgrund der zu erwartenden Popularität der Schwachstelle und dem damit einhergehenden erhöhten Ausnutzungsrisiko zügig installiert werden. Erste Proof-of-Concepts zur Ausnutzung der Schwachstelle sind öffentlich verfügbar. Für Fedora 26 und 27 stehen Backport-Sicherheitsupdates in Form der Pakete 'kernel-4.13.16-202.fc26' bzw. 'kernel-4.13.16-302.fc27' im Status 'stable' zur Verfügung, mit denen auch eine Reihe weiterer Fehler mittels Backports behoben werden. Workaround: Das Mapping zumindest der Zero-Page als Huge Page kann durch eine Konfiguration im '/sys'-Verzeichnis unterbunden werden. Informationen dazu finden sich in der Analyse "'Dirty COW' variant on transparent huge page" von Red Hat im Reiter 'Resolve' (Referenz anbei). Red Hat stellt auch ein Tool zur Detektion der Schwachstelle bereit (ebendort, Reiter 'Diagnose)'. Patch: Fedora Security Update FEDORA-2017-9ea11e444d (Fedora 26, kernel-4.13.16-202.fc26) https://bodhi.fedoraproject.org/updates/FEDORA-2017-9ea11e444d

Patch:

Fedora Security Update FEDORA-2017-b0c1f44130 (Fedora 27,
kernel-4.13.16-302.fc27)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-b0c1f44130

CVE-2017-1000405: Schwachstelle in Linux-Kernel ermöglicht u.a.
Beeinträchtigung der Systemintegrität

Im Linux-Kernel in den Versionen 2.6.38 bis 4.14 existiert eine
Schwachstelle aufgrund der problematischen Verwendung der Methode
‘pmd_mkdirty’ innerhalb der ‘touch_pmd’-Funktion der THP (Transparent Huge
Pages) Implementierung. Die ‘touch_pmd’-Funktion kann über die Methode
‘get_user_pages’ erreicht werden. In einem solchen Fall wird das PMD (Page
Medium Directory) ‘schmutzig’ (dirty). Dieses Szenario verletzt die neue
‘can_follow_write_pmd’-Logik und erlaubt die Verschmutzung des PMDs ohne
dass ein COW (Copy-On-Write) Zyklus durchlaufen werden muss, da zwischen
‘touch_pmd’ und ‘can_follow_write_pmd’ eine Wettlaufsituation (Race
Condition) existiert. Die Schwachstelle besteht aufgrund eines
unvollständigen Fixes für die ursprüngliche ‘Dirty COW’-Schwachstelle
(CVE-2016-5195), ist aber nicht so schwerwiegend, da eine ‘ext4’-Datei oder
jede andere beliebige, reguläre Datei nicht mittels THP gemappt werden kann.
Allerdings erlaubt die Schwachstelle das Überschreiben eigentlich
schreibgeschützter ‘Huge Pages’. Als Beispiel können die ‘Zero Huge Page’
und die geschützten ‘shmem’-Dateien überschrieben werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2184/

Schwachstelle CVE-2017-1000405 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1000405

Fedora Security Update FEDORA-2017-9ea11e444d (Fedora 26,
kernel-4.13.16-202.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-9ea11e444d

Fedora Security Update FEDORA-2017-b0c1f44130 (Fedora 27,
kernel-4.13.16-302.fc27):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-b0c1f44130

Red Hat Analyse: ‘Dirty COW’ variant on transparent huge pages –
CVE-2017-1000405:
https://access.redhat.com/security/vulnerabilities/3253921

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.