LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen einen lokalen Root-Exploit gegen OpenBSD 7.9, der zwei Kernel-Schwächen miteinander verkettet. Der Angriff kombiniert einen lang zurückliegenden Integer-Overflow im shmat(4)-Pfad mit einem getrennt durchzuführenden Use-after-Free. Damit umgeht der Exploit Schutzmechanismen wie KARL, SMAP und SMEP, ohne dass eine Schwachstelle zur Informationsoffenlegung nötig ist. Die entsprechenden Fixes wurden bereits per syspatch ausgeliefert, CVEs wurden zum Veröffentlichungszeitpunkt noch nicht vergeben.
OpenBSD gerät erneut in den Fokus der Exploit-Forschung: Eine neu veröffentlichte Proof-of-Concept-Kette zeigt, wie ein lokaler Angreifer auf OpenBSD 7.9 bis auf Root kommen kann. Entscheidend ist nicht nur die konkrete Schwäche, sondern die Kombination zweier getrennt gefixter Fehler: Zuerst wird ein Integer-Overflow im Kontext der Shared-Memory-Anbindung erzeugt, danach nutzt der Exploit eine weitere Kernel-Mangelstelle, um die Speicherverwaltung so zu beeinflussen, dass am Ende Codeausführung möglich wird. Laut Veröffentlichung zielen die Schritte dabei explizit darauf ab, Kernel-Schutzmechanismen zu umgehen, darunter das KARL-Adressrandomisierungsmodell sowie die Hardware-Schutzfunktionen SMAP und SMEP.
Technisch startet die Kette im shmat(4)-Weg, also dort, wo Prozesse Shared Memory an einen Adressraum koppeln. Der Kernpunkt ist eine Referenzzählung, die in den ursprünglichen BSD-Quellen seit 1988 als signed 16-bit short definiert war und somit bei einem Maximalwert von 32.767 überlaufen kann, ohne dass OpenBSD den Datentyp später ausreichend verbreitert hat. Der Exploit überschreitet diese Grenze, indem er 127 Shared-Memory-Segmente abbildet und 259 Prozesse forked, wodurch der Zähler über den erlaubten Bereich hinauswächst und bei einem Wrap auf −32.643 “zurückspringt”. Dieser Überlauf ist gleichzeitig die Eintrittstür in die komplette Verkettung; er wird dabei in der Einordnung als Zuverlässigkeitsfix und nicht als Sicherheitsfix klassifiziert.
Im nächsten Schritt löst ein Race-Condition-Szenario die zweite Hälfte der Kette aus. Der korrumpierte Referenzzähler führt laut Beschreibung dazu, dass der Kernel Speicher freigibt, während andere Prozesse ihn weiterhin nutzen (Use-after-Free). Zusätzlich kommt eine Out-of-bounds-Schreiboperation hinzu, die wiederum Kernel-internen Zählern für Multicast-Mitgliedschaften schadet. Sobald der betroffene Socket geschlossen wird, ziehen die daraus resultierenden Inkrement-/Dekrement-Operationen nachgelagerte Effekte nach: Die resultierenden Änderungen an Page-Table-Einträgen verschieben eine Nutzerabbildung so, dass sie supervisorzugänglich wird. Damit fallen SMAP und SMEP faktisch weg, obwohl der Kernel zuvor beides als Schutzbarrieren gegen unzulässigen Zugriff nutzt.
Erst danach wird aus dem korrumpierten Zustand heraus aktive Codeausführung möglich. Die Veröffentlichung beschreibt, dass der Exploit anschließend einen Funktionszeiger an einer vorhersehbaren Kerneladresse überschreibt, um eigenen Code auszuführen, ohne dabei auf eine Informationsoffenlegungsschwachstelle angewiesen zu sein. Der Mechanismus dahinter lässt sich als “deterministische” Adresslandschaft interpretieren: Obwohl OpenBSD mit KARL den Kernel neu verknüpft, um Funktionen und Datenadressen zu randomisieren, bleibt das Verhalten der Speicherallokatoren nach dieser Darstellung deterministisch. Sowohl Boot-Time- als auch Best-Fit-Allokatoren sollen dabei keine Base-Address-Randomisierung besitzen; dadurch landen frühe Boot-Strukturen – einschließlich Funktionszeigern in Netzwerk-Interface-Handlern wie lo0 und enc0 – bei identischer Hardware über Reboots hinweg auf gleichbleibenden Adressen.
Für die Praxis ist vor allem relevant, wie schnell die Abwehrseite nachgezogen hat. Laut der beschriebenen Timeline wurden beide Teile der Kette bereits mit Patches entschärft: Der Integer-Overflow im shmat(4)-Pfad sei in errata 018 enthalten und als Zuverlässigkeitsfix am 14. September ausgeliefert worden. Die zweite, den Angriff vervollständigende Use-after-Free-Behebung stehe in errata 026 und sei als Sicherheitsfix am 30. September verfügbar geworden. Beide Korrekturen seien über syspatch für alle Architekturen verfügbar; zudem erhielt auch OpenBSD 7.8 bereits den Integer-Overflow-Fix. Zum Zeitpunkt der Veröffentlichung seien für keine der beiden Schwächen CVEs vergeben worden, und es gebe laut Darstellung keine Hinweise darauf, dass die Lücken bereits in echten Angriffen ausgenutzt wurden.
Auch interessant für Entwicklerteams und Plattformverantwortliche ist, dass die Veröffentlichung nicht nur den Exploit zeigt, sondern die Härtungsrichtung auf konkreten Engineering-Ansätzen aufbaut. Neben weiteren strukturellen Verbesserungen nennt die Sicherheitsfirma vier Kategorien: “safe-unlinking” für Kernel-verlinkte Listen (ein Muster, das bereits in FreeBSD und NetBSD verwendet werde), Randomisierung einer page-table self-referential mapping, Kernel-Allocator-Randomisierung sowie compilerbasierte Bounds-Checks. In genau diesen Punkten spiegelt sich ein Grundproblem vieler Kernel-Angriffe wider: Selbst starke Randomisierung einzelner Komponenten kann ins Leere laufen, wenn andere Schritte der Speicherverwaltung deterministisch bleiben. Forscher Andrew Griffiths bringt es in der Quelle so auf den Punkt: „While OpenBSD’s KARL relinks the kernel binary to randomize both function and data addresses, the kernel’s memory allocators remain deterministic, “
Für Unternehmen mit OpenBSD-Deployment folgt daraus vor allem eine klare Priorisierung in der Patch-Planung. Da der Root-Weg als rein lokal beschrieben wird, ist die unmittelbare Internet-Exponierung zwar typischerweise geringer als bei Remote-Exploits; gleichzeitig steigt mit der PoC-Lesbarkeit die Chance, dass ein bereits “reifendes” Exploit-Szenario schneller Nachnutzung findet. Wer syspatch bereits genutzt hat, liegt laut Beschreibung auf der richtigen Seite, sollte aber prüfen, ob die relevanten Errata wirklich im Zielsystem eingespielt wurden und ob Deployments auf mehreren Versionen (etwa 7.8 vs. 7.9) synchron nachziehen. Parallel lohnt es sich, die beschriebenen Schutzschichten im Betrieb zu testen, etwa indem man die Abhängigkeit von SMAP/SMEP in realen Workloads überprüft und die Kernel-Änderungen in CI/CD nachvollziehbar dokumentiert.
Schließlich zeigt der Fall, wie stark “alte” Bug-Klassen in modernen Systemen wieder an Relevanz gewinnen können, sobald sie mit neuen oder ergänzenden Schwächen zusammenspielen. Der Integer-Overflow selbst war lange im Systemkontext plausibel, aber erst die Verkettung mit Use-after-Free und der damit verbundenen Adress- und Rechteeskalation macht aus der Schwäche ein Root-Thema. Dass die Proof-of-Concept-Codes verfügbar gemacht wurden, dürfte zusätzlich den Druck erhöhen, nicht nur einzelne CVE-Löcher zu schließen, sondern ganze Klassen deterministischer Speichermechanismen weiter abzuschirmen. Bis auf weiteres bleibt deshalb die Kombination aus zeitnaher Patch-Distribution und einer systematischen Betrachtung deterministischer Allokationspfade der beste Hebel, um ähnliche Ketten frühzeitig abzuschneiden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OpenBSD: Root-Exploit via Verkettung alter Bug-Klasse veröffentlicht" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OpenBSD: Root-Exploit via Verkettung alter Bug-Klasse veröffentlicht" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OpenBSD: Root-Exploit via Verkettung alter Bug-Klasse veröffentlicht« bei Google Deutschland suchen, bei Bing oder Google News!