CVE-2018-14634
Linux Kernel Integer Overflow Vulnerability
Beschreibung
CVE-2018-14634 ist eine Integer-Overflow-Schwachstelle in der Funktion create_elf_tables() des Linux-Kernels. Ein unprivilegierter lokaler Benutzer mit Zugriff auf eine SUID-Binaerdatei (oder eine anderweitig privilegierte Datei) kann diese Schwachstelle ausnutzen, um seine Rechte auf dem System zu eskalieren. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score von 25,70 % (96,1. Perzentil) stellt diese Schwachstelle ein erhebliches Risiko dar. Betroffen sind Kernel-Versionen 2.6.x, 3.10.x und 4.14.x sowie zahlreiche Produkte, die auf dem Linux-Kernel basieren, darunter Palo Alto Networks PAN-OS und diverse F5 BIG-IP Produkte. Die CISA hat CVE-2018-14634 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 16. Februar 2026.
KEV-Informationen
CVSS-Score
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| paloaltonetworks | pan-os | >= 7.1.0, < 7.1.23; >= 8.0.0, < 8.0.16; >= 8.1.0, < 8.1.7 |
| f5 | big-ip access policy manager | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip advanced firewall manager | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip analytics | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip application acceleration manager | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip application security manager | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip domain name system | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip edge gateway | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip fraud protection service | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip global traffic manager | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip link controller | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip local traffic manager | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip policy enforcement manager | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-ip webaccelerator | >= 11.2.1, < 11.6.4; >= 12.1.0, < 12.1.5; >= 13.0.0, < 13.1.1.5; >= 14.0.0, < 14.0.1.1; >= 14.1.0, < 14.1.0.6 |
| f5 | big-iq centralized management | >= 5.0.0, <= 5.4.0; >= 6.0.0, <= 6.0.1; >= 7.0.0, <= 7.1.0; 4.6.0 |
| f5 | big-iq cloud and orchestration | 1.0.0 |
| f5 | enterprise manager | 3.1.1 |
| f5 | iworkflow | >= 2.2.0, <= 2.3.0 |
| f5 | traffix signaling delivery controller | >= 5.0.0, <= 5.1.0; 4.4.0 |
| linux | linux kernel | >= 2.6.0, <= 2.6.39.4; >= 3.10, <= 3.10.102; >= 4.14, <= 4.14.54 |
Mehrere CVSS-Bewertungen
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.openwall.com/lists/oss-security/2021/07/20/2(Mailing List, Third Party Advisory)
- http://www.securityfocus.com/bid/105407(Broken Link, Third Party Advisory, VDB Entry)
- https://access.redhat.com/errata/RHSA-2018:2748(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:2763(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:2846(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:2924(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:2925(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:2933(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:3540(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:3586(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:3590(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:3591(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:3643(Third Party Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-14634(Issue Tracking, Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20190204-0002/(Patch, Third Party Advisory)
- https://security.paloaltonetworks.com/CVE-2018-14634(Third Party Advisory)
- https://support.f5.com/csp/article/K20934447?utm_source=f5support&%3Butm_medium=RSS(Third Party Advisory)
- https://usn.ubuntu.com/3775-1/(Third Party Advisory)
- https://usn.ubuntu.com/3775-2/(Third Party Advisory)
- https://usn.ubuntu.com/3779-1/(Third Party Advisory)
- https://www.exploit-db.com/exploits/45516/(Exploit, Third Party Advisory, VDB Entry)
- https://www.openwall.com/lists/oss-security/2018/09/25/4(Exploit, Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-14634(US Government Resource)
Schwachstellentyp
CWE-190: Integer Overflow or Wraparound
CWE-190 (Integer Overflow or Wraparound) beschreibt eine Schwachstellenklasse, bei der eine arithmetische Operation zu einem Wert fuehrt, der den maximalen Bereich des verwendeten Datentyps ueberschreitet. Statt einen Fehler auszuloesen, "wrapt" der Wert um und wird zu einer unerwartet kleinen (oder negativen) Zahl. In sicherheitskritischem Code kann dies dazu fuehren, dass Groessenberechnungen fuer Speicherpuffer fehlschlagen und ein zu kleiner Puffer alloziert wird, was nachfolgende Pufferueberlaeufe und Codeausfuehrung ermoeglicht. Mehr erfahren
Auswirkungsanalyse
Lokale Privilegieneskalation bis Root: Die schwerwiegendste Auswirkung von CVE-2018-14634 ist die Moeglichkeit, von einem unprivilegierten Benutzerkonto zu Root-Rechten zu eskalieren. Der CVSS-Vektor bewertet alle drei Schutzziele mit High: Vertraulichkeit (C:H) bedeutet vollstaendigen Lesezugriff auf alle Systemdaten einschliesslich kryptographischer Schluessel und Passwoerter. Integritaet (I:H) ermoeglicht das Installieren von Rootkits, das Manipulieren von Systemdateien und das Einrichten persistenter Backdoors. Verfuegbarkeit (A:H) gibt dem Angreifer die volle Kontrolle ueber den Betrieb des Systems.
Breite Angriffsoberflaeche: Da es sich um eine lokale Schwachstelle handelt (AV:L), muss der Angreifer bereits Zugriff auf das System haben. In Unternehmensumgebungen ist dies jedoch haeufig der Fall, etwa durch kompromittierte Benutzerkonten, Shared-Hosting-Umgebungen oder Container-Ausbrueche. Die niedrige Angriffsklomplexitaet (AC:L) und die geringe Privilegienanforderung (PR:L) machen die Ausnutzung zuverlaessig.
EPSS und Ransomware: Mit einem EPSS-Score von 25,70 % liegt CVE-2018-14634 im 96,1. Perzentil, was eine sehr hohe Ausnutzungswahrscheinlichkeit signalisiert. Der Ransomware-Status ist als Unknown klassifiziert. Lokale Privilegieneskalationen sind jedoch ein zentraler Baustein in Ransomware-Angriffsketten, um nach einem initialen Zugang vollstaendige Systemkontrolle zu erlangen.
Exploit-Reifegrad
CVE-2018-14634 weist eine hohe Exploit-Reife auf. Die Schwachstelle ist seit 2018 oeffentlich bekannt und wurde von Qualys als "Mutagen Astronomy" benannt. Detaillierte technische Analysen und Proof-of-Concept-Exploits sind oeffentlich verfuegbar. Die Aufnahme in den CISA KEV-Katalog bestaetigt die aktive Ausnutzung in freier Wildbahn.
EPSS-Kontext: Der EPSS-Score von 25,70 % (96,1. Perzentil) zeigt, dass CVE-2018-14634 zu den oberen 4 % der am wahrscheinlichsten ausgenutzten Schwachstellen gehoert. Dies spiegelt die Verfuegbarkeit zuverlaessiger Exploits und die weite Verbreitung betroffener Linux-Systeme wider.
Betroffene Produkte: Neben dem Linux-Kernel selbst sind zahlreiche kommerzielle Produkte betroffen, darunter Palo Alto Networks PAN-OS (Versionen 7.1.0 bis 8.1.7) und diverse F5 BIG-IP-Module (Access Policy Manager, Advanced Firewall Manager, Analytics, Application Acceleration Manager, Application Security Manager, Domain Name System und Edge Gateway). Dies erweitert die Angriffsoberflaeche erheblich ueber klassische Linux-Server hinaus.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Allerdings sind Privilegieneskalationen wie diese ein bevorzugtes Werkzeug in Ransomware-Kampagnen, um nach dem initialen Zugang vollstaendige Systemkontrolle zu erlangen.
Behebung
- Kernel-Update installieren: Aktualisieren Sie den Linux-Kernel auf eine gepatchte Version. Red Hat hat Patches in den Advisories RHSA-2018:2748, RHSA-2018:2763, RHSA-2018:2846 und weiteren bereitgestellt. Fuer andere Distributionen pruefen Sie die jeweiligen Sicherheitshinweise.
- Palo Alto Networks PAN-OS aktualisieren: Aktualisieren Sie PAN-OS auf eine der folgenden Mindestversionen: 7.1.23, 8.0.16 oder 8.1.7. Diese Versionen enthalten den gepatchten Linux-Kernel.
- F5 BIG-IP Produkte aktualisieren: Aktualisieren Sie alle betroffenen BIG-IP Module auf mindestens Version 11.6.4, 12.1.5, 13.1.1.5, 14.0.1.1 oder 14.1.0.6 (je nach Versionszweig). Konsultieren Sie die F5-Sicherheitshinweise fuer produktspezifische Details.
- SUID-Binaries auditieren: Ueberpruefen Sie als kurzfristige Massnahme alle SUID-Binaries auf Ihren Systemen mit
find / -perm -4000 -type f. Entfernen Sie das SUID-Bit von nicht benoetigten Binaries, um die Angriffsoberflaeche zu reduzieren. - Systeme bis zur Behebung ueberwachen: Implementieren Sie erhoehtes Monitoring fuer verdaechtige Prozesserstellungen mit Root-Rechten und ungewoehnliche Nutzung von SUID-Binaries, bis alle Systeme gepatcht sind.
Technische Details
Die Schwachstelle liegt in der Funktion create_elf_tables() des Linux-Kernels, die beim Laden von ELF-Binaries den initialen Stack des Prozesses aufbaut. Diese Funktion berechnet die Groesse des benoetigten Speichers fuer Argumente, Umgebungsvariablen und Hilfsinformationen (auxv). Ein Integer Overflow bei dieser Berechnung fuehrt dazu, dass ein zu kleiner Speicherbereich alloziert wird, waehrend die tatsaechlichen Daten den Puffer ueberschreiben.
CVSS-Vektor im Detail: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfordert lokalen Zugriff (AV:L) und niedrige Privilegien (PR:L), also ein normales Benutzerkonto. Die Komplexitaet ist niedrig (AC:L) und es ist keine Benutzerinteraktion (UI:N) erforderlich. Der Scope ist unveraendert (S:U), aber alle Schutzziele sind maximal betroffen (C:H/I:H/A:H).
Angriffsmechanismus: Der Angreifer erstellt eine speziell praeparierte SUID-Binary oder nutzt eine vorhandene, die mit einer extrem grossen Anzahl von Argumenten oder Umgebungsvariablen aufgerufen wird. Die Funktion create_elf_tables() berechnet die Gesamtgroesse dieser Daten, wobei der Integer-Ueberlauf dazu fuehrt, dass der berechnete Wert kleiner ist als die tatsaechlichen Daten. Der nachfolgende Kopiervorgang ueberschreibt benachbarte Speicherbereiche auf dem Stack, einschliesslich Ruecksprungadressen, und ermoeglicht die Umleitung des Kontrollflusses zu beliebigem Code mit Root-Rechten.
Betroffene Kernel-Versionen: Die Schwachstelle betrifft Kernel-Versionen 2.6.x, 3.10.x und 4.14.x. Insbesondere 64-Bit-Systeme sind verwundbar, da die notwendigen grossen Speichermengen auf 32-Bit-Systemen nicht erreichbar sind.
Häufig gestellte Fragen
Ist mein Linux-System von CVE-2018-14634 betroffen?
Die Schwachstelle betrifft Linux-Kernel-Versionen 2.6.x, 3.10.x und 4.14.x. Pruefen Sie Ihre Kernel-Version mit uname -r. Wenn Sie eine aktuelle Linux-Distribution mit regelmaessigen Updates verwenden, ist Ihr System hoechstwahrscheinlich bereits gepatcht. Besondere Aufmerksamkeit ist bei langlebigen Embedded-Systemen und Netzwerk-Appliances wie PAN-OS oder BIG-IP geboten.
Kann die Schwachstelle aus der Ferne ausgenutzt werden?
Nein, CVE-2018-14634 erfordert lokalen Zugriff auf das System (Attack Vector: Local). Ein Angreifer benoetigt ein normales Benutzerkonto auf dem betroffenen System. Allerdings wird eine solche Schwachstelle haeufig in Kombination mit einer Remote-Schwachstelle genutzt, um nach dem initialen Zugang volle Root-Rechte zu erlangen.
Warum sind Netzwerk-Appliances wie PAN-OS und BIG-IP betroffen?
Viele Netzwerk-Appliances basieren intern auf dem Linux-Kernel. Palo Alto Networks PAN-OS und F5 BIG-IP verwenden angepasste Linux-Kernels als Betriebssystembasis. Eine Kernel-Schwachstelle wie CVE-2018-14634 betrifft daher auch diese Produkte, obwohl sie nicht als klassische Linux-Server wahrgenommen werden.
Gibt es einen temporaeren Workaround, bis ein Patch installiert ist?
Als kurzfristige Massnahme koennen Sie SUID-Binaries ueberpruefen und nicht benoetigte SUID-Bits entfernen. Zusaetzlich kann die maximale Stack-Groesse ueber /etc/security/limits.conf begrenzt werden, um die Ausnutzung zu erschweren. Dies ist jedoch kein vollstaendiger Schutz und sollte nur als Ueberbrueckung bis zum Patch-Einspielen dienen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.