local root exploit kernel 2.2 und 2.4

[abi]

steht hier ja noch gar nicht.

hier der patch für kernel 2.4.20 und 2.4.21
http://www.hardrock.org/kernel/2.4.20/l ... race.patch
hier der patch für kernel 2.2
ftp://ftp.kernel.org/pub/linux/kernel/v2.2/

[walde]

Der Exploit ist ja ganz schön übel.

Ich glaube in vielen Firmen (vor allen Unis) ist gerade ganz schön was los
Hab den Exploit mal getestet. Unheimlich...
Da zeigt es sich wieder:
Erzeuge keine unnötigen Accounts...

ciao
Walde

[[Cyrus]]

Ist wirklich sehr schlimm an Unis, besonders an denen mit anfälligen openssl versionen

[floschi]

ich sag nur grsecurity-Patch

[abi]

naja, beunruhigender ist da schon eher das der exploit in diversen kreisen schon seit 25 Januar zu haben war.

[eagle]

Ich habe das sample exploit: http://august.v-lo.krakow.pl/~anszom/km3.c ausprobiert. Der Bug ist richtig übel, wenn man bedenkt das auf vielen Rechnern wahrscheinlich kein Kernel Patch einspielt wird.

Mich hat auch gewundert wie wenig darüber berichtet wird.

eagle

PS. Funktioniert der ptrace-patch-2.4 20 auch für den 2.4.18?

[julien]

was richtet dieser exploit denn an?

[eagle]

was richtet dieser exploit denn an?

Da kannst du dir mit dem Parameter -d eine Root Shell besorgen oder mit -c ein Programm starten. Zum Test hatte ich mal schnell die /etc/shadow kopiert.

eagle

[julien]

uff
und wie kann ich meinen kernel mit diesem patch patchen? (hab sowas noch nie gemacht)

[eagle]

uff
und wie kann ich meinen kernel mit diesem patch patchen? (hab sowas noch nie gemacht)

Welchen Kernel benutzt du denn? Ich habe noch den 2.4.18 von Woody.

Zum Patchen brauchst du die Kernel Sourcen und das Paket patch. Außerdem könnten die Pakete dh-kpatches und kernel-patch-scripts weiterhelfen. Im Linux Anwenderhandbuch gibt es ein Kapitel zum Thema Kernel bauen.

eagle

[julien]

ich muss nur wissen wie ich den patch "installiere"
mit "patch" nur welche parameter für den befehl oder wie auch immer?
kernel selbst gebaut hab ich schon unzählige male

[eagle]

kernel selbst gebaut hab ich schon unzählige male

Na war auch nicht so gemeint .

Normalerweise macht man das patch -p0 < patch-file.

PS. Bin z.Z im Chat.

[floschi]

zum grsecurity-Patch: http://www.rootforum.de/howto/grsecurity.html

[Paladin]

wirklich erschreckend...
da muss ich doch sofort meinen kernel patchen

[suntsu]

Mal ne wahrscheinlich dumme Frage:
Wenn ich mir jetzt die sourcen downloade und mir einen neuen Kernel backe, muss ich den dann auch noch patchen, oder ist der schon auf dem neuesten stand?

[eagle]

Der 2.4.20 ist ja der letzte stabile Kernel und ich denke das die Änderungen erst im der 2.4.21 drin sind, aber davon gibt es erst eine pre5.

eagle

[suntsu]

k, danke.

Noch ein paar Fragen:

Wenn ich das Script "patch-kernel" ausführe wird nur die Version meines aktuellen Kernels ausgegeben, obwohl der patch unter linux(zum testen auch unter script) lag. Was muss ich noch machen damit ich damit meinen Kernel patchen kann?

Wo sehe ich ob der Patch nach dem Kompilieren auch angewendet wird(ob er korrekt installier ist?)

Und wiso gibt es den patch nicht auf kernel.org? Kann man dem Link den try angegeben hat vertrauen(me ist zwar sonst ned so paranoid, ist nur ne Frage)?

gruss
manuel

[Beelzebub]

zur vollständigkeit
http://www.securityfocus.com/archive/1/ ... 03-03-23/0

[abi]

Patchen tut man die sourcen so:

Kernel sourcen entpacken nach /usr/src
wenn nötig einen link auf das source dir machen (also ln -s /sourcedir/ /usr/src/linux-2.4.20)

Danach das Patch file nach /usr/src/ kopieren.

patch -p0 <patchfile

nach diesem Befehl sollten einige Zeilen ala "patching file .." kommen und ihr könnt den Kernel übersetzen.

Wer zu faul ist den Kernel neu zu übersetzen soll sich das hier angucken:
http://www.securiteam.com/tools/5SP082K5GK.html

mit gcc -Wall -c bla.c

übersetzen, was ein Kernel modul ala bla.o ausgeben würde, das mit insmod laden und der Exploit sollte auch nicht mehr funktionieren.

[Steffen]

Ich hab da mal, vielleicht dumme, frage. security.debian.org beschäftigt sich ja mit der Sicherheit des stabilen Release, es werden aber eigentlich keine Kernelupdates gefahren, sprich nur Programmpakete aktualisiert.
Was ist jetzt in einem solchen Fall, hier kommt man ja wohl um einen neuen (sprich gepatcheten) Kernel nicht herum und von der Sicherheitslücke liest man leider auf debian security auch nichts. Wie verfahren die denn in einem solchen Fall?

[eagle]

Ich habe gelesen, das der Patch bei Suse noch getested wird. Was mit Debian ist weiss ich leider auch nicht. Ich hoffe das apt-get upgrade bald mal was zum Thema sagt.

Fuer alle mit einer richtigen Multiuser Umgebung hilft wohl nur der manuelle Weg ueber den 2.4.20 und patch. Zur Not kann man wohl auch das Nachladen von Modulen verhindern mit echo /just/a/temporary/workaround > /proc/sys/kernel/modprobe.

eagle

[abi]

Ich hab da mal, vielleicht dumme, frage. security.debian.org beschäftigt sich ja mit der Sicherheit des stabilen Release, es werden aber eigentlich keine Kernelupdates gefahren, sprich nur Programmpakete aktualisiert.
Was ist jetzt in einem solchen Fall, hier kommt man ja wohl um einen neuen (sprich gepatcheten) Kernel nicht herum und von der Sicherheitslücke liest man leider auf debian security auch nichts. Wie verfahren die denn in einem solchen Fall?

der Patch ist noch nicht offiziell, daher denke ich nicht das was kommt bevor er nicht von den Kernel Developern als offiziell verkündet wird, selbst Alan Cox (der den Patch geschrieben hat) wusste nicht sicher welche Auswirkungen er auf Anwendungen hat. Eine darauf kommentierende Person betonte das eine von ihm geschriebene Sandbox Anwendung nach patchen des Kernels nicht mehr funktionierte.

Naja, es wird wohl neue, gepatchte Kernel-Images geben und/oder gepatchte kernel-src Packages.

hm.. try
/der keine Mailinglisten mehr lesen kann weil der webshield der vor dem Exchange hängt die debian listen Mails nicht mag.

[blackm]

Wer zu faul ist den Kernel neu zu übersetzen soll sich das hier angucken:
http://www.securiteam.com/tools/5SP082K5GK.html

mit gcc -Wall -c bla.c

übersetzen, was ein Kernel modul ala bla.o ausgeben würde, das mit insmod laden und der Exploit sollte auch nicht mehr funktionieren.

Das Modul wurde aber nicht für diese Sicherheitslücke geschrieben, oder? Es hat ja schon ein paar Jahre auf dem Buckel..oder ist die Lücke schon so lange bekannt?

by, Martin

[[Cyrus]]

@blackm:

Nicht direkt. Aber es gab ja schon tausende ptrace exploits
Ist aber auch gut für Admins, damit können sie die bösen User loggen.

[abi]

hier noch eine Diskussion auf debian-security:

http://lists.debian.org/debian-security ... 00350.html