Neue Sicherheitslücken in Linux: Passwort-Hash-Diebstahl durch Core Dumps

LONDON (IT BOLTWISE) – Zwei neue Sicherheitslücken in den Core-Dump-Handlern von Linux-Systemen wie Ubuntu, Red Hat Enterprise Linux und Fedora könnten es Angreifern ermöglichen, sensible Informationen zu stehlen.

In der Welt der Linux-Distributionen sind Sicherheitslücken keine Seltenheit, doch die neuesten Entdeckungen in den Core-Dump-Handlern von Ubuntu, Red Hat Enterprise Linux und Fedora werfen ernsthafte Bedenken auf. Diese Schwachstellen, identifiziert von der Qualys Threat Research Unit (TRU), könnten es lokalen Angreifern ermöglichen, sensible Informationen wie Passwort-Hashes zu stehlen. Die Schwachstellen, bekannt als CVE-2025-5054 und CVE-2025-4598, sind als Race-Condition-Fehler klassifiziert, die durch die Manipulation von SUID-Programmen ausgenutzt werden können.

Apport und systemd-coredump, die für das Crash-Reporting und die Verarbeitung von Core Dumps in Linux-Systemen verantwortlich sind, stehen im Zentrum dieser Sicherheitslücken. Laut Saeed Abbasi, Produktmanager bei Qualys TRU, könnten diese Race Conditions einem lokalen Angreifer die Möglichkeit geben, auf den resultierenden Core Dump zuzugreifen und dadurch sensible Informationen zu extrahieren.

Die erste Schwachstelle, CVE-2025-5054, betrifft das Canonical Apport-Paket bis Version 2.32.0. Sie ermöglicht es einem Angreifer, durch die Wiederverwendung von Prozess-IDs in Namespaces sensible Informationen zu leaken. Die zweite Schwachstelle, CVE-2025-4598, betrifft systemd-coredump und erlaubt es einem Angreifer, einen SUID-Prozess zum Absturz zu bringen und durch einen nicht-SUID-Binary zu ersetzen, um auf den privilegierten Prozess-Core-Dump zuzugreifen.

Red Hat hat die Schwere von CVE-2025-4598 als moderat eingestuft, da die Ausnutzung dieser Schwachstelle eine hohe Komplexität erfordert. Der Angreifer muss nicht nur die Race Condition ausnutzen, sondern auch über ein unprivilegiertes lokales Konto verfügen. Als Gegenmaßnahme können Benutzer den Befehl “echo 0 > /proc/sys/fs/suid_dumpable” als Root-Benutzer ausführen, um die Fähigkeit des Systems, Core Dumps für SUID-Binaries zu generieren, zu deaktivieren.

Interessanterweise sind Debian-Systeme standardmäßig nicht anfällig für CVE-2025-4598, da sie keinen Core-Dump-Handler enthalten, es sei denn, das systemd-coredump-Paket wird manuell installiert. Auch Ubuntu-Veröffentlichungen sind von CVE-2025-4598 nicht betroffen. Qualys hat zudem Proof-of-Concept (PoC)-Code für beide Schwachstellen entwickelt, der zeigt, wie ein lokaler Angreifer den Core Dump eines abgestürzten unix_chkpwd-Prozesses ausnutzen kann, um Passwort-Hashes aus der /etc/shadow-Datei zu erhalten.

Die Auswirkungen dieser Schwachstellen könnten erheblich sein, da Angreifer sensible Daten wie Passwörter, Verschlüsselungsschlüssel oder Kundeninformationen aus Core Dumps extrahieren könnten. Dies könnte zu beträchtlichen betrieblichen Ausfällen, Reputationsschäden und potenziellen Nichteinhaltungen von Vorschriften führen. Unternehmen sollten daher proaktive Sicherheitsmaßnahmen ergreifen, indem sie Patches und Gegenmaßnahmen priorisieren, eine robuste Überwachung durchführen und die Zugriffskontrollen verschärfen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!