Mitte Oktober wurde eine schwerwiegende Sicherheitslücke im Herzen von Linux bekannt, von der ein großer Teil der Server im Internet betroffen ist. Ein Angreifer benötigt weder Passwort noch Zugang, um einen Server zum Absturz zu bringen oder im schlimmsten Fall sogar zu übernehmen: Ein paar präparierte Datenpakete reichen aus. Für einige der meistgenutzten Linux-Systeme gibt es noch kein Update.
Die gute Nachricht: Der Angriff benötigt ein bestimmtes Merkmal in den Paketen, das die Filter der Link11 Network DDoS Protection konsequent aussortieren.
Auf einen Blick:
- Was: ein Fehler im Linux-Kernel, also dem Kern des Betriebssystems.
- Wer: praktisch jeder Linux-Server, der über IPv4 aus dem Netz erreichbar ist.
- Folge: Absturz, im Extremfall Übernahme des Servers.
- Schutz: ein Kernel-Update und bis dahin ein Netzwerkfilter, der die gefährlichen Pakete gar nicht erst durchlässt.
Was steckt dahinter?
Ähnlich dem Adressfeld auf einem Briefumschlag hat jedes Datenpaket im Internet einen sogenannten Kopf. Neben Absender und Empfänger erlaubt das alte Internetprotokoll IPv4 optionale Zusatzangaben, die sogenannten IP-Optionen. Diese stammen aus der Frühzeit des Internets und dienten beispielsweise dazu, den Weg eines Pakets mitzuprotokollieren. Heute nutzt sie praktisch niemand mehr.
Gleichzeitig sind diese Zusatzangaben der Hebel des Angriffs. Wenn ein Server eine neue Verbindung annimmt, legt er sich die Angaben kurz als Notiz ab. Moderne Server erledigen dabei viele Aufgaben gleichzeitig auf mehreren Prozessorkernen. Schickt der Angreifer seine Verbindungsanfrage mehrfach kurz hintereinander, kann es passieren, dass ein Kern die Notiz bereits entfernt hat, während ein anderer Kern sie noch liest.
Fachleute nennen das eine Race Condition, einen Wettlauf zweier Abläufe, bei dem das Timing über das Ergebnis entscheidet. Die Folge ist ein sogenannter Use-after-free. Dabei greift das System auf Speicher zu, den es bereits freigegeben hat und der womöglich schon für etwas anderes genutzt wird.
Den richtigen Moment zu erwischen, funktioniert nicht bei jedem Versuch. Für den Angreifer ist das jedoch kein großes Hindernis, da er es einfach sehr oft hintereinander probieren kann.
Im harmlosesten Fall stürzt der Server ab. Im schlimmsten Fall kann der Angreifer jedoch Speicher lesen oder verändern, auf den er eigentlich keinen Zugriff haben dürfte. Die Korrektur der Linux-Entwickler sorgt nun dafür, dass die Notiz erst dann weggeworfen wird, wenn wirklich niemand mehr darin liest.
Wie gefährlich ist das?
Die Einschätzungen gehen auseinander. Während die Linux-Entwickler die Lücke als kritisch einstufen, sehen die großen Linux-Anbieter sie eher als mittel bis hoch. Der Grund für die Zurückhaltung ist, dass es schwierig ist, den richtigen Moment zu treffen.
Dass es trotzdem möglich ist, hat Anthropic gezeigt. Das KI-Unternehmen hat die Lücke entdeckt und im Labor einen Angriff entwickelt, mit dem sich ein Server aus der Ferne vollständig übernehmen lässt. Das dauerte knapp eine Stunde und zielte auf Server mit einer bestimmten Zusatzfunktion namens Multipath TCP ab. Heikel dabei ist, dass Fehlversuche den Server nicht zum Absturz bringen und deshalb kaum auffallen.
Echte Angriffe sind bisher nicht bekannt. Da die Funktionsweise jedoch öffentlich beschrieben ist, sollte man sich darauf nicht verlassen.
Warum das gerade jetzt zählt
Die Linux-Entwickler haben den Fehler bereits Anfang Oktober behoben. Bis die Korrektur auf einem Server ankommt, muss jedoch jeder Linux-Anbieter sie in seine eigene Version einbauen und ausliefern.
Debian, SUSE, Oracle und Amazon haben dies zumindest für einen Teil ihrer Systeme erledigt. Für Ubuntu und Red Hat Enterprise Linux, zwei der meistgenutzten Server-Systeme, gab es Ende Oktober noch kein Update und auch keine offiziell empfohlene Übergangslösung. Viele Betreiber können also im Moment schlicht nicht patchen.
Wie Link11 schützt
Der Angriff funktioniert nur, wenn Pakete mit diesen alten Zusatzangaben beim Server ankommen. Genau dort setzen unsere Filter an.
Unsere DDoS-Filter verwerfen jedes IPv4-Paket, das IP-Optionen enthält – und das, bevor irgendeine andere Regel greift und ohne Ausnahme. Da normaler Datenverkehr diese Felder nicht nutzt, geht dabei nichts Legitimes verloren.
Das bedeutet: Jeder Server, dessen Traffic durch unsere Filter läuft, ist vor dem Angriff aus dem Netz geschützt, auch wenn das Betriebssystem noch auf das Update wartet.
Diese Regel ist keine Reaktion auf diese CVE, sondern Teil unserer Grundkonfiguration. IP-Optionen sind nicht per se gefährlich, im heutigen Internet aber überflüssig. Diese Lücke zeigt, warum es sich lohnt, Exoten im Protokoll konsequent wegzufiltern, bevor sie zum Einsatz kommen.
Erfahren Sie, wie die neue Network DDoS Protection Sie noch effektiver schützt
Schnellere Mitigation, IPv6-Parität, mehr Transparenz und deutlich weniger manueller Aufwand.
Wo kein Filter hilft
Ein Netzwerkfilter schützt nur das, was durch ihn hindurchläuft. Ein Update ist deshalb in mehreren Fällen Pflicht:
- Server, deren Traffic nicht über uns läuft. Das betrifft etwa Management- und Wartungszugänge oder Systeme mit eigener Internetanbindung, die an einem vorgelagerten Schutz vorbei erreichbar sind.
- Netzwerke, in denen ein Angreifer bereits Fuß gefasst hat. Wer etwa ein Gerät im internen Netz kontrolliert, erreicht verwundbare Server, ohne einen vorgelagerten Filter zu passieren.
- Server, auf denen sich nicht vertrauenswürdige Nutzer anmelden können. Die Lücke lässt sich auch von innen auslösen und wird von keinem Netzwerkfilter erkannt.
Was diese Lücke über die Zukunft verrät
Eine KI hat diese Lücke gefunden. Das ist kein Einzelfall: Sprachmodelle spüren Schwachstellen in immer höherem Tempo auf. Für Unternehmen bedeutet das, dass sie mehr Updates in kürzeren Abständen durchführen müssen.
Unternehmen, die bereits heute über zu wenige Kapazitäten für Patches und Updates verfügen, geraten dadurch weiter unter Druck. Ein vorgelagerter Netzwerkschutz löst dieses Problem zwar nicht, gleichzeitig verschafft er Luft: Er hält Angriffe aus dem Internet ab und gibt die Zeit, Patches sowie Updates sauber zu testen und einzuspielen.
Langfristig führt jedoch kein Weg an „Secure by Design” vorbei, wie es auch der Cyber Resilience Act (CRA) der EU einfordert. Speicherfehler wie dieser sind typisch für ältere Programmiersprachen wie C, in der ein Großteil des Linux-Kernels geschrieben ist. Neuere Sprachen wie Rust schließen solche Fehler weitgehend aus und werden bereits im Kernel eingesetzt. Bestehenden Code schreibt aber niemand ohne Not neu. Deshalb bleiben die Grundlagen entscheidend, allen voran zeitnahes Patchen.
Was wir empfehlen
- Update einspielen, sobald der eigene Linux-Anbieter es bereitstellt.
- Prüfen, welche Server direkt aus dem Internet erreichbar sind, ohne dass ihr Traffic durch einen Netzwerkschutz läuft.
- Systeme mit vielen Nutzern oder fremdem Code zuerst patchen, etwa Shared Hosting oder Build-Server.
Für Techies: die Details in Kürze
- Betroffen ist der IPv4-Pfad im TCP-Handshake: Die IP-Optionen der wartenden Verbindungsanfrage (beispielsweise Record Route oder Timestamp) werden ohne Kopie an den neuen Socket weitergegeben. Antwortet parallel ein anderer CPU-Kern auf ein wiederholtes SYN, entsteht ein Use-after-free-Fehler.
- IPv6 ist nicht betroffen, da dort die Optionen kopiert werden.
- Der Fehler steckt seit Linux 4.4 im Kernel. Der Fix gibt den Speicher erst nach einer RCU-Grace-Period frei und ist in allen gepflegten Stable-Zweigen enthalten.
- CVSS: 9,8 laut Kernel-CVE-Team, 5,9 bis 8,1 bei den Distributoren. Der Unterschied liegt allein in der Bewertung der Angriffskomplexität.
- Anthropics Exploit umgeht zuerst KASLR über ein Speicherleck und überschreibt dann einen Callback-Pointer. Das Ziel waren Server mit MPTCP-Listener. Code und Testkonfiguration wurden nicht veröffentlicht.
Möchten Sie sicher sein, dass Ihre Server vollständig abgedeckt sind? Dann sprechen Sie jederzeit unsere Ansprechpartner an. Wir prüfen Ihre Umgebung gerne gemeinsam mit Ihnen.
Sie sind noch kein Link11-Kunde? Dann kontaktieren Sie uns und erfahren Sie, wie unser Netzwerkschutz Ihre Systeme absichert, bevor ein Patch verfügbar ist.
Jetzt kontaktieren >>
Das könnte Ihnen auch gefallen:
