Ein “Goto-Fail”-artiger Bug macht die weit verbreitete Gnu-TLS-Bibliothek und mit ihr die verschlüsselten Internetverbindungen der meisten Linux-Distributionen angreifbar. Den Nutzern wird dringend empfohlen, ihr System zu aktualisieren.
Der Bug tritt beim Überprüfen von Zertifikaten auf. Laut zugehörigem Advisory kann ein Angreifer mit einem gefälschten Zertifikat den Check umgehen. Entdeckt wurde die Lücke im Rahmen einer Code-Untersuchung durch Red Hat. SSL und TLS kommen unter Linux in einer ganzen Reihe von Anwendungen zum Einsatz, etwa beim Versenden und Empfangen von E-Mails oder beim sicheren Besuch von Webseiten.
Ein Patch korrigiert die falsch gesetzten Return Codes in Gnu TLS.
Ars Technica widmet dem Thema einen ausführlichen Artikel. Demnach kann die Lücke, die fast alle Linux-Distributionen betrifft, seit 2005 im Code stecken und sei schlimmer als Apples “Goto-Fail”-Bug. Wie auch dort sei eine schlecht gesetzte Goto-Anweisung für den Bug verantwortlich.
Seit letzter Woche liegen Patches für den Bug vor, Linux-Nutzer sollten ihr System also möglichst bald auf die Version 3.2.13 aktualisieren. Dennoch zeigt der Bug, dass Code-Offenheit allein nicht genügt, um eine Software sicher zu machen, sondern auch regelmäßige Reviews notwendig sind.
