CVE-2014-0196
Linux Kernel Race Condition Vulnerability
Beschreibung
CVE-2014-0196 ist eine Race-Condition-Schwachstelle im Linux-Kernel bis Version 3.14.3, die in der Funktion n_tty_write im TTY-Subsystem auftritt. Die Schwachstelle entsteht durch unsachgemaesse Verwaltung des TTY-Treiberzugriffs im LECHO- und !OPOST-Modus, wodurch gleichzeitige Lese- und Schreiboperationen mit langen Zeichenketten zu Speicherkorruption fuehren koennen. Ein lokaler Angreifer mit Benutzerzugriff kann diese Race Condition ausnutzen, um einen Systemabsturz (Denial of Service) auszuloesen oder erhoehte Berechtigungen auf dem betroffenen System zu erlangen.
Die Schwachstelle wird mit einem CVSS v3.1-Score von 5.5 (MEDIUM) bewertet, wobei die Verfuegbarkeit als einzige Impact-Metrik betroffen ist. Die CISA hat CVE-2014-0196 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestaetigt, mit einer Behebungsfrist bis zum 2. Juni 2023. Der EPSS-Score von 61.76 % (98. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin und unterstreicht die Dringlichkeit der Behebung fuer alle betroffenen Linux-Systeme.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| linux | linux kernel | > 2.6.31, < 3.2.59; >= 3.3, < 3.4.91; >= 3.5, < 3.10.40; >= 3.11, < 3.12.20; >= 3.13, < 3.14.4; 2.6.31 |
| debian | debian linux | 6.0; 7.0 |
| redhat | enterprise linux | 6.0 |
| redhat | enterprise linux eus | 6.3; 6.4 |
| redhat | enterprise linux server eus | 6.3 |
| suse | suse linux enterprise desktop | 11 |
| suse | suse linux enterprise high availability extension | 11 |
| suse | suse linux enterprise server | 11 |
| oracle | linux | 6 |
| canonical | ubuntu linux | 10.04; 12.04; 12.10; 13.10; 14.04 |
| f5 | big-ip access policy manager | >= 11.1.0, <= 11.5.1 |
| f5 | big-ip advanced firewall manager | >= 11.3.0, <= 11.5.1 |
| f5 | big-ip analytics | >= 11.1.0, <= 11.5.1 |
| f5 | big-ip application acceleration manager | >= 11.4.0, <= 11.5.1 |
| f5 | big-ip application security manager | >= 11.1.0, <= 11.5.1 |
| f5 | big-ip edge gateway | >= 11.1.0, <= 11.3.0 |
| f5 | big-ip global traffic manager | >= 11.1.0, <= 11.5.1 |
| f5 | big-ip link controller | >= 11.1.0, <= 11.5.1 |
| f5 | big-ip local traffic manager | >= 11.1.0, <= 11.5.1 |
| f5 | big-ip policy enforcement manager | >= 11.3.0, <= 11.5.1 |
Referenzen
- http://bugzilla.novell.com/show_bug.cgi?id=875690(Issue Tracking, Permissions Required, Third Party Advisory)
- http://git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git%3Ba=commit%3Bh=4291086b1f081b869c6d79e5b7441633dc3ace00(Broken Link)
- http://linux.oracle.com/errata/ELSA-2014-0771.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2014-05/msg00007.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2014-05/msg00012.html(Mailing List, Third Party Advisory)
- http://pastebin.com/raw.php?i=yTSFUBgZ(Exploit, Mailing List, Third Party Advisory)
- http://rhn.redhat.com/errata/RHSA-2014-0512.html(Third Party Advisory)
- http://secunia.com/advisories/59218(Not Applicable)
- http://secunia.com/advisories/59262(Broken Link)
- http://secunia.com/advisories/59599(Broken Link)
- http://source.android.com/security/bulletin/2016-07-01.html(Not Applicable)
- http://support.f5.com/kb/en-us/solutions/public/15000/300/sol15319.html(Third Party Advisory)
- http://www.debian.org/security/2014/dsa-2926(Third Party Advisory)
- http://www.debian.org/security/2014/dsa-2928(Third Party Advisory)
- http://www.exploit-db.com/exploits/33516(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2014/05/05/6(Mailing List, Third Party Advisory)
- http://www.osvdb.org/106646(Broken Link)
- http://www.ubuntu.com/usn/USN-2196-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2197-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2198-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2199-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2200-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2201-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2202-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2203-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2204-1(Third Party Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=1094232(Issue Tracking, Patch, Third Party Advisory)
- https://github.com/torvalds/linux/commit/4291086b1f081b869c6d79e5b7441633dc3ace00(Exploit, Patch, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-0196(US Government Resource)
Schwachstellentyp
CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization (Race Condition)
CVE-2014-0196 basiert auf CWE-362, einer Schwachstellenklasse, bei der mehrere Ausfuehrungspfade gleichzeitig auf eine gemeinsam genutzte Ressource zugreifen, ohne dass eine ordnungsgemaesse Synchronisierung erfolgt. Im Fall des Linux-Kernels tritt diese Race Condition in der n_tty_write-Funktion auf, wenn gleichzeitige Lese- und Schreiboperationen auf dem TTY-Geraet durchgefuehrt werden und die Zugriffskontrolle im speziellen LECHO- und !OPOST-Modus nicht korrekt implementiert ist.
Mehr erfahren: CWE-362 -- Race Condition
Auswirkungsanalyse
Die Auswirkungen von CVE-2014-0196 betreffen primaer die Verfuegbarkeit der betroffenen Linux-Systeme. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H zeigt, dass die Schwachstelle lokal ausnutzbar ist und niedrige Berechtigungen (ein regulaeres Benutzerkonto) erfordert. Angriffsvektor (Lokal): Der Angreifer benoetigt lokalen Zugang zum System, was den Angriffsradius im Vergleich zu netzwerkbasierten Schwachstellen einschraenkt. Angriffskomplexitaet (Niedrig): Die Ausnutzung erfordert keine speziellen Bedingungen, da die Race Condition zuverlaessig ueber gleichzeitige Lese- und Schreiboperationen auf einem TTY-Geraet ausgeloest werden kann. Verfuegbarkeit (Hoch): Die resultierende Speicherkorruption kann zum vollstaendigen Systemabsturz fuehren und damit den Betrieb aller auf dem System laufenden Dienste unterbrechen. Obwohl der CVSS-Score mit 5.5 als MEDIUM eingestuft ist, weist der EPSS-Score von 61.76 % auf eine ausserordentlich hohe Wahrscheinlichkeit aktiver Ausnutzung hin. Betroffen sind neben dem reinen Linux-Kernel auch zahlreiche Enterprise-Produkte wie Red Hat Enterprise Linux, SUSE Linux Enterprise, Debian, Ubuntu sowie F5 BIG-IP-Appliances, was die potenzielle Tragweite dieser Schwachstelle erheblich vergroessert.
Exploit-Reifegrad
CVE-2014-0196 weist eine hohe Exploit-Reife auf. Oeffentlich verfuegbarer Exploit-Code ist ueber mehrere Quellen zugaenglich, darunter Exploit-DB (33516) sowie ein frueherer Proof-of-Concept auf Pastebin. Zusaetzlich enthaelt der Kernel-Commit auf GitHub sowohl den Patch als auch Details zum Exploit-Mechanismus. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und CVE-2014-0196 in den KEV-Katalog aufgenommen, wobei der Ransomware-Status als Unknown klassifiziert ist. Der EPSS-Score von 61.76 % (98. Perzentil) platziert diese Schwachstelle unter den Top 2 % der am staerksten ausgenutzten Schwachstellen und bestaetigt die anhaltende Bedrohung fuer ungepatchte Linux-Systeme.
Behebung
-
Linux-Kernel aktualisieren: Aktualisieren Sie den Linux-Kernel auf Version 3.14.4 oder hoeher, in der die Race Condition in n_tty_write behoben wurde. Gemaess KEV-Katalog: Wenden Sie die Abhilfemassnahmen des Herstellers an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfuegbar sind.
-
Distributionsspezifische Patches einspielen: Installieren Sie die Sicherheitsupdates Ihrer jeweiligen Linux-Distribution: Red Hat (RHSA-2014-0512), Debian (DSA-2926, DSA-2928), Ubuntu (USN-2196 bis USN-2204) oder SUSE Security Advisories. F5 BIG-IP-Nutzer sollten die Loesung SOL15319 anwenden.
-
TTY-Zugriff einschraenken: Als Zwischenmassnahme koennen Sie den Zugriff auf TTY-Geraete durch restriktivere Dateisystemberechtigungen oder SELinux/AppArmor-Richtlinien limitieren, um die Angriffsoberflaeche zu reduzieren.
-
Systeme auf Kompromittierung pruefen: Untersuchen Sie alle betroffenen Systeme auf Anzeichen einer Ausnutzung, insbesondere auf unerwartete Prozesse mit erhoehten Berechtigungen, verdaechtige Kernel-Meldungen (dmesg) und ungewoehnliche Systemabstuerze.
-
Langfristige Haertung implementieren: Aktivieren Sie Kernel-Schutzmechanismen wie ASLR, Stack Canaries und SMEP/SMAP, um die Ausnutzung von Speicherkorruptionsschwachstellen generell zu erschweren. Implementieren Sie automatische Kernel-Update-Mechanismen, um zeitnahe Patches sicherzustellen.
Technische Details
CVE-2014-0196 betrifft die Funktion n_tty_write im TTY-Line-Discipline-Subsystem des Linux-Kernels (Datei drivers/tty/n_tty.c). Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H zeigt, dass die Schwachstelle lokal (AV:L) mit niedriger Komplexitaet (AC:L) und niedrigen Berechtigungen (PR:L) ohne Benutzerinteraktion (UI:N) ausnutzbar ist. Die Schwachstelle manifestiert sich spezifisch im LECHO- und !OPOST-Betriebsmodus der TTY-Schnittstelle, wobei die n_tty_write-Funktion den konkurrierenden Zugriff auf den gemeinsam genutzten TTY-Puffer nicht ordnungsgemaess serialisiert. Wenn ein Prozess lange Zeichenketten gleichzeitig liest und schreibt, entsteht eine Race Condition (CWE-362), bei der der Pufferzeiger in einen inkonsistenten Zustand geraet und Speicherbereiche ausserhalb der vorgesehenen Grenzen ueberschrieben werden. Diese Speicherkorruption kann von einem lokalen Angreifer gezielt ausgeloest werden, um entweder einen Kernel-Panic auszuloesen (Denial of Service) oder durch praezise Manipulation der ueberschriebenen Speicherbereiche beliebigen Code im Kernel-Kontext auszufuehren und damit Root-Rechte zu erlangen. Betroffen sind alle Linux-Kernel-Versionen bis einschliesslich 3.14.3, und der Scope bleibt unveraendert (S:U), wobei ausschliesslich die Verfuegbarkeitsmetrik auf High gesetzt ist.
Häufig gestellte Fragen
Wird CVE-2014-0196 aktiv ausgenutzt?
Ja, CVE-2014-0196 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestaetigt, mit einer Behebungsfrist bis zum 2. Juni 2023. Der EPSS-Score von 61.76 % (98. Perzentil) platziert die Schwachstelle unter den Top 2 % der am staerksten ausgenutzten Schwachstellen weltweit. Der Ransomware-Status ist als Unknown klassifiziert.
Welche Produkte sind von CVE-2014-0196 betroffen?
Betroffen ist der Linux-Kernel bis einschliesslich Version 3.14.3 sowie alle darauf basierenden Distributionen und Produkte. Dazu gehoeren Red Hat Enterprise Linux, SUSE Linux Enterprise Desktop und Server, Debian Linux, Canonical Ubuntu Linux und Oracle Linux. Zusaetzlich sind zahlreiche F5 BIG-IP-Produkte betroffen, darunter Access Policy Manager, Advanced Firewall Manager, Application Security Manager und weitere.
Wie behebe ich CVE-2014-0196?
Aktualisieren Sie den Linux-Kernel auf Version 3.14.4 oder hoeher. Alternativ installieren Sie die distributionsspezifischen Sicherheitsupdates (z.B. RHSA-2014-0512, DSA-2926/2928, USN-2196 bis USN-2204). Als temporaere Massnahme koennen Sie den Zugriff auf TTY-Geraete durch restriktivere Berechtigungen einschraenken.
Wie schwerwiegend ist CVE-2014-0196?
CVE-2014-0196 ist mit einem CVSS-Score von 5.5 als MEDIUM eingestuft, wobei primaer die Verfuegbarkeit betroffen ist. Trotz der moderaten CVSS-Bewertung weist der EPSS-Score von 61.76 % (98. Perzentil) auf eine ausserordentlich hohe Ausnutzungswahrscheinlichkeit hin. Die Aufnahme in den CISA KEV-Katalog bestaetigt, dass die Schwachstelle ein reales und aktives Sicherheitsrisiko darstellt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.