Ein Entwickler des europäischen Cloud- und Hostinganbieters Ionos hatt Mitte Februar eine schwerwiegende Sicherheitslücke im Linux-Kernel ab Version 5.8 entdeckt. Über die Dirty-Pipe getaufte Lücke hätten Angreifer Daten überschreiben können, ohne über Zugriffsrechte zu verfügen. Die Lücke ist inzwischen in den betroffenen Versionen über einen Patch geschlossen.
Der Ionos-Entwickler Max Kellermann hatte dem Linux-Kernel-Team neben den Informationen zum Problem auch einen Patch übermittelt. Neben den betroffenen Linux-Versionen ist auch das ebenfalls von der Lücke betroffene Smartphone-Betriebssystem Android aktualisiert worden.
Über die Lücke hätten Angreifer unter Umständen die Kontrolle über Computer und Smartphones bekommen können, teilt Ionos mit. Entdeckt hat Kellermann das Problem, weil Kunden sich über beschädigte Dateien beschwerten und Kellermann nach einiger Zeit ein Muster erkennen konnte und die Ursache des Fehlers im Linux Kernel fand.
Durch einen Fehler in der Speicherverwaltung bei der Kommunikation zwischen unterschiedlichen Prozessen mittels sogenannter Pipes konnten die Berechtigungen zum Lesen, Schreiben oder Ausführen von Dateien umgangen werden. Kellermann hat einen Blogbeitrag mit den Details verfasst.
