Die Entwicklungsumgebung VSCode liegt in Version 1.86 vor, die auf Linux-Systemen ab sofort die Glibc 2.28 voraussetzt.

Die Qualys Threat Research Unit (TRU) hat vier Schwachstellen in der GNU C Library (Glibc) aufgedeckt.

Es gibt wieder neue Sicherheitslücken in glibc. Dabei betrifft eine die syslog()-Funktion, die andere qsort(). Letztere Lücke existiert dabei seit glibc 1.04 und somit seit 1992. Entdeckt und beschrieben wurden die Lücken von der Threat Research Unit bei Qualys.

Die syslog-Lücke ist ab Version 2.37 seit 2022 enthalten und betrifft somit die eher die neuen Versionen von Linux-Distributionen wie Debian ab Version 12 oder Fedora ab Version 37. Hierbei handelt es sich um einen "heap-based buffer overflow" in Verbindung mit argv[0]. Somit ist zwar der Anwendungsvektor schwieriger auszunutzen, weil in wenigen Szenarien dieses Argument (der Programmname) dem Nutzer direkt überlassen wird, die Auswirkungen sind jedoch umso schwerwiegender. Mit der Lücke wird eine lokale Privilegienausweitung möglich. Die Lücke wird unter den CVE-Nummern 2023-6246, 2023-6779 und 2023-6780 geführt.

Bei der qsort-Lücke ist eine Memory Corruption möglich, da Speichergrenzen an einer Stelle nicht überprüft werden. Hierfür sind allerdings bestimmte Voraussetzungen nötig: die Anwendung muss qsort() mit einer nicht-transitiven Vergleichsfunktion nutzen (die allerdings auch nicht POSIX- und ISO-C-konform wären) und über eine große Menge an zu sortierenden Elementen verfügen, die vom Angreifer bestimmt werden. Dabei kann ein malloc-Aufruf gestört werden, der dann zu weiteren Angriffen führen kann. Das Besondere an dieser Lücke ist ihr Alter, da sie bereits im September 1992 ihren Weg in eine der ersten glibc-Versionen fand.

Bei der GNU C-Bibliothek (glibc) handelt es sich um eine freie Implementierung der C-Standard-Bibliothek. Sie wird seit 1987 entwickelt und ist aktuell in Version 2.38 verfügbar. Morgen, am 1. Februar, erscheint Version 2.39.

Im dynamische Lader der GNU C-Bibliothek (Glibc) steckt eine Schwachstelle, die sich lokal ausnutzen lässt, um sich Root-Rechte zu verschaffen.

Aufgedeckt haben die Schwachstelle die Experten von Qualys. Deren Meldung zufolge besteht die Sicherheitslücke in einem Pufferüberlauf in der Verarbeitung der Umgebungsvariablen GLIBC_TUNABLES durch den dynamischen Lader. Diese Sicherheitslücke sei bereits im April 2021 (Glibc 2.34) durch Commit 2ed18c eingeführt worden, heißt es weiter.

Der dynamic Loader von Glibc finde und lade shared libraries, die von einem Programm benötigt werden, bereite das Programm zur Ausführung vor und führt es dann aus, berichten die Experten. Der dynamische Lader sei extrem sicherheitsrelevant, da sein Code mit erhöhten Rechten ausgeführt werde, wenn ein lokaler Benutzer etwa ein Programm mit gesetzter Benutzer-ID ausführe.

Den Forschern ist es gelungen, die Sicherheitslücke erfolgreich auszunutzen und volle Root-Rechte auf den Standardinstallationen von Fedora 37 und 38, Ubuntu 22.04 und 23.04, Debian 12 und 13 zu erlangen. Andere Distributionen seien wahrscheinlich auch anfällig. Eine Ausnahme stelle Alpine Linux dar, das Musl Libc verwende und nicht die Glibc.

Die Experten wollen laut der Meldung den Exploit vorerst nicht veröffentlichen. Die Distributionen haben begonnen, Updates bereitzustellen.

Der Beitrag Schwachstelle in Glibc ermöglicht Root-Rechte erschien zuerst auf Linux-Magazin.

Die Linux From Scratch-Community gibt die Veröffentlichung der Version 12.0 des Linux-Bausatzsystems bekannt.

Zu den wichtigsten Änderungen von Linux from Scratch (LFS) in Version 12 gehören Aktualisierungen der Toolchain für Binutils-2.41, GCC-13.2.0 und Glibc-2.38. Insgesamt wurden 38 Pakete seit der letzten Veröffentlichung aktualisiert und es gab umfangreiche Aktualisierungen des Textes im gesamten Buch, um die Lesbarkeit zu verbessern, teilen die Entwickler mit. Der Linux-Kernel sei auf die Version 6.4.12 aktualisiert worden.

Weitere wichtige Änderungen sind laut den Machern das Hinzufügen von Libxcrypt als separates Paket. Zuvor war dieses in der Glibc enthalten. Für die sysV-Version des Buches wird Udev nun direkt aus dem Systemd-Tarball extrahiert, heißt es weiter. Diese Änderung erfordere auch die Erstellung der Python-Module jinja und markupsafe.

Insgesamt gab es 234 Änderungen an LFS seit der letzten stabilen Version des Buches. Die Anleitung lässt sich online lesen oder lokal herunterladen.

Der Beitrag Linux from Scratch in Version 12 erschien zuerst auf Linux-Magazin.