Es wurde eine Sicherheitslücke in der Festplattenverschlüsselung von Linux entdeckt, die mindestens seit der Kernel-Version 2.6 existiert. Wer die Lücke ausnutzt, erlangt root-Rechte und kann quasi alles im Dateisystem tun.
Linux Unified Key Setup (LUKS) ist eine Spezifikation zur Verschlüsselung von Festplatten unter Linux. Hinweise zur Verschlüsselung finden sich z.B. im Ubuntu-Wiki. Wie betanews.com hier berichtet, wurde eine gravierende Sicherheitslücke CVE-2016-4484 (Cryptsetup Initrd root Shell) entdeckt, welche Millionen Linux-Systeme potentiell angreifbar macht. Die Lücke wurde hier von Hector Marco und Ismael Ripol beschrieben und steckt in einem Script zur Prüfung eines Passworts unter /scripts/local-top/cryptroot.
Sitzt der Angreifer beim Booten eines Systems an der Linux-Konsole, und ist die Linux-Partition verschlüsselt, kann er das System durch Drücken der Eingabetaste quasi austricksen. Wird die maximale Zahl der Versuche für “transient hardware faults” (ist bei x86-Systemen auf 30 gesetzt) überschritten, bekommt der Angreifer über die initramfs shell root-Zugriffsrechte, kann also Dateien manipulieren oder löschen. Bei heise.de schreibt man, dass man während der Passworteingabe die Enter-Taste für 70 Sekunden gedrückt halten muss. Das ist natürlich die Passworteingabe von CryptoSetup.
Das Szenario funktioniert wohl unter Debian und Ubuntu, wenn die Festplatte verschlüsselt wird. Aber auch Fedora, welches Dracut verwendet, ist wohl angreifbar, wie die Entdecker der Sicherheitslücke schreiben. Im betreffenden Artikel wird auch ein Fix für das Script beschrieben, mit dem man die Sicherheitslücke schließen kann.
Vermutlich halten viele Linux-Admins die Lücke für wenig problematisch, da die Angreifer ja Zugriff auf die Linux-Konsole benötigen. Problem ist, dass in der Cloud eine Menge Linux-Maschinen betrieben und remote administriert werden, wie ZDNet.com hier schreibt.
