CVE-2017-1000253
Linux Kernel PIE Stack Buffer Corruption Vulnerability
Beschreibung
CVE-2017-1000253 ist eine schwerwiegende Schwachstelle im Linux-Kernel, die sich auf die Position-Independent Executable (PIE)-Handhabung des ELF-Loaders auswirkt. Die Schwachstelle ermöglicht einem lokalen Angreifer mit niedrigen Berechtigungen eine vollständige Systemkompromittierung. Betroffen sind zahlreiche Linux-Distributionen, darunter Red Hat Enterprise Linux 6 und 7 sowie CentOS 6 und 7. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score von 0.54194 (98.0. Perzentil) wird die Schwachstelle aktiv ausgenutzt und ist als Ransomware-Vektor bestätigt (Known).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| centos | centos | 6.0; 6.1; 6.2; 6.3; 6.4; 6.5; 6.6; 6.7; 6.8; 6.9; 7.1406; 7.1503; 7.1511; 7.1611 |
| redhat | enterprise linux | 6.0; 6.1; 6.2; 6.3; 6.4; 6.5; 6.6; 6.7; 6.8; 6.9; 7.0; 7.1; 7.2; 7.3 |
| linux | linux kernel | >= 2.6.25, < 3.2.70; >= 3.3, < 3.4.109; >= 3.5, < 3.10.77; >= 3.11, < 3.12.43; >= 3.13, < 3.14.41; >= 3.15, < 3.16.35; >= 3.17, < 3.18.14; >= 3.19, < 3.19.7; >= 4.0, < 4.0.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/101010(Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1039434(Third Party Advisory, VDB Entry)
- https://access.redhat.com/errata/RHSA-2017:2793(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2794(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2795(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2796(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2797(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2798(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2799(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2800(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2801(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:2802(Third Party Advisory)
- https://www.qualys.com/2017/09/26/cve-2017-1000253/cve-2017-1000253.txt(Patch, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-1000253(US Government Resource)
Schwachstellentyp
Für CVE-2017-1000253 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle betrifft den ELF-Loader im Linux-Kernel und dessen Handhabung von Position-Independent Executables (PIE). Der Kernel-Code, der für das Laden von ELF-Binärdateien zuständig ist, hat unzureichende Prüfungen bei der Speicherzuweisung für PIE-Executables durchgeführt. Dies führt dazu, dass bestimmte speziell konstruierte ELF-Binärdateien Speicherbereiche auf dem Stack überschreiben können, was einem Angreifer die Ausführung von beliebigem Code mit Kernel-Privilegien ermöglicht. Die Schwachstelle wurde ursprünglich im April 2015 durch den Commit a87938b2e246 gepatcht, aber nicht als Sicherheitsproblem erkannt und daher nicht in alle Langzeit-Kernel zurückportiert.
Auswirkungsanalyse
Die Ausnutzung von CVE-2017-1000253 hat schwerwiegende Auswirkungen auf Linux-basierte Infrastrukturen. Vertraulichkeit: Ein Angreifer kann vollständigen Zugriff auf alle Systemdaten erlangen, einschließlich verschlüsselter Dateien, Konfigurationsdaten und Credentials anderer Benutzer. Integrität: Mit Kernel-Privilegien können Rootkits installiert, Systemdateien manipuliert und Audit-Logs verändert werden. Verfügbarkeit: Der Angreifer kann das System vollständig kontrollieren und kritische Dienste unterbrechen oder den Server für weitere Angriffe missbrauchen. Der EPSS-Score von 0.54194 (98.0. Perzentil) signalisiert eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung. Besonders kritisch ist die Bestätigung als Ransomware-Vektor (Known) - Ransomware-Gruppen nutzen diese Schwachstelle aktiv zur Eskalation von Privilegien auf Linux-Servern. Die breite Basis betroffener Systeme, darunter Red Hat Enterprise Linux und CentOS in den weit verbreiteten Versionen 6 und 7, sowie zahlreiche Kernel-Versionen von 2.6.25 bis 4.0.2, vergrößert die Angriffsfläche erheblich.
Exploit-Reifegrad
CVE-2017-1000253 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. September 2024. Der EPSS-Score von 0.54194 liegt im 98.0. Perzentil, was diese Schwachstelle zu den am wahrscheinlichsten ausgenutzten weltweit zählt. Der Ransomware-Bezug ist als "Known" bestätigt, was bedeutet, dass Ransomware-Gruppen diese Schwachstelle nachweislich in ihren Angriffsketten einsetzen. Qualys hat eine detaillierte technische Analyse unter qualys.com veröffentlicht, die den Exploit-Mechanismus beschreibt. Red Hat hat mehrere Security Advisories (RHSA-2017:2793 bis RHSA-2017:2802) veröffentlicht, die Patches für betroffene RHEL-Versionen bereitstellen. Die Schwachstelle existiert seit 2015, wurde aber erst 2017 als Sicherheitsproblem erkannt, sodass viele Systeme über Jahre hinweg verwundbar waren.
Behebung
-
Kernel-Update sofort einspielen: Aktualisieren Sie den Linux-Kernel auf eine gepatchte Version. Für Red Hat Enterprise Linux verwenden Sie die Patches aus den Security Advisories RHSA-2017:2793 bis RHSA-2017:2802. Für den Upstream-Kernel stellen Sie sicher, dass der Commit a87938b2e246b81b4fb713edb371a9fa3c5c3c86 enthalten ist (ab Linux 3.10.77, 3.12.43, 3.14.41, 3.16.35, 3.18.14, 3.19.7 oder 4.0.2).
-
Alle betroffenen Systeme identifizieren: Inventarisieren Sie alle Linux-Systeme in Ihrer Infrastruktur und prüfen Sie deren Kernel-Version. Betroffen sind Kernel-Versionen von 2.6.25 bis zu verschiedenen 4.x-Releases. Besonderes Augenmerk gilt RHEL/CentOS 6 und 7 Systemen, die möglicherweise nicht mehr aktiv gewartet werden.
-
End-of-Life-Systeme migrieren: CentOS 6 und RHEL 6 haben das End-of-Life erreicht. Planen Sie die Migration dieser Systeme auf aktuelle, unterstützte Versionen. Bis zur Migration sollten diese Systeme verstärkt überwacht und vom Netzwerk isoliert werden.
-
Systemüberwachung intensivieren: Implementieren Sie Monitoring für verdächtige ELF-Binärausführungen und Privilege-Escalation-Versuche. Überwachen Sie Kernel-Logs auf Anomalien im Zusammenhang mit dem ELF-Loader und Stack-Überläufen.
-
Netzwerksegmentierung überprüfen: Stellen Sie sicher, dass Server mit veralteten Kernels in isolierten Netzwerksegmenten betrieben werden. Beschränken Sie den Zugang zu diesen Systemen auf das absolute Minimum.
Technische Details
Der CVSS v3.1-Vektor für CVE-2017-1000253 lautet CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H mit einem Score von 7.8 (HIGH). Angriffsvektor (AV:L): Die Ausnutzung erfordert lokalen Zugang zum System. Angriffskomplexität (AC:L): Die Ausnutzung ist nicht komplex. Erforderliche Berechtigungen (PR:L): Nur geringe Berechtigungen notwendig, ein normales Benutzerkonto genügt. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich. Scope (S:U): Die Auswirkungen beschränken sich auf die betroffene Komponente. Auswirkungen (C:H/I:H/A:H): Vertraulichkeit, Integrität und Verfügbarkeit sind vollständig betroffen. Der technische Mechanismus basiert auf einem Fehler im Linux-Kernel bei der Verarbeitung von Position-Independent Executables (PIE). Wenn CONFIG_ARCH_BINFMT_ELF_RANDOMIZE_PIE aktiviert ist, kann der ELF-Loader unter bestimmten Umständen das Datensegment einer PIE-Binärdatei auf Speicherbereiche abbilden, die den Stack überlappen. Ein Angreifer kann eine speziell konstruierte ELF-Binärdatei erstellen, die beim Laden den Stack überschreibt und dadurch die Kontrolle über den Ausführungsfluss erlangt. Der ursprüngliche Fix wurde im April 2015 in den Upstream-Kernel integriert, jedoch nicht als Sicherheitsfix markiert, weshalb viele Distributionen den Patch nicht zeitnah in ihre Langzeit-Kernel zurückportierten.
Häufig gestellte Fragen
Was ist CVE-2017-1000253?
CVE-2017-1000253 ist eine Schwachstelle im Linux-Kernel, die den ELF-Loader betrifft. Durch einen Fehler bei der Verarbeitung von Position-Independent Executables kann ein lokaler Angreifer Kernel-Privilegien erlangen. Die Schwachstelle existiert seit Kernel 2.6.25 und wurde von Ransomware-Gruppen aktiv ausgenutzt.
Welche Linux-Systeme sind betroffen?
Betroffen sind Linux-Kernel-Versionen von 2.6.25 bis zu verschiedenen 4.x-Releases, die den Commit a87938b2e246 nicht enthalten. Besonders betroffen sind Red Hat Enterprise Linux 6 und 7, CentOS 6 und 7 sowie alle Distributionen, die nicht gepatchte Langzeit-Kernel verwenden. Prüfen Sie Ihre Kernel-Version mit dem Befehl uname -r.
Warum wird eine Schwachstelle von 2017 noch im KEV-Katalog gelistet?
Obwohl der Patch seit 2015/2017 verfügbar ist, laufen viele Linux-Systeme, insbesondere in Unternehmen, auf älteren Kernel-Versionen. CentOS 6 und RHEL 6 haben das End-of-Life erreicht, werden aber in vielen Organisationen noch produktiv eingesetzt. Die Aufnahme in den KEV-Katalog 2024 zeigt, dass die Schwachstelle immer noch aktiv ausgenutzt wird.
Wird CVE-2017-1000253 für Ransomware eingesetzt?
Ja, der Ransomware-Bezug ist als "Known" bestätigt. Ransomware-Gruppen nutzen diese Schwachstelle zur Privilege Escalation auf Linux-Servern, typischerweise nachdem sie initialen Zugang über eine andere Schwachstelle erlangt haben. Die Kombination aus weiter Verbreitung und einfacher Ausnutzung macht sie zu einem bevorzugten Werkzeug.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.