CVE-2019-13272
Linux Kernel Improper Privilege Management Vulnerability
Beschreibung
CVE-2019-13272 ist eine Schwachstelle in der Rechteverwaltung des Linux-Kernels, die es lokalen Benutzern ermöglicht, Root-Zugriff zu erlangen. Die Schwachstelle befindet sich in der Funktion ptrace_link in kernel/ptrace.c und behandelt die Aufzeichnung von Prozess-Anmeldeinformationen bei ptrace-Beziehungen fehlerhaft. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 81,25 % (99,15. Perzentile) besteht eine sehr hohe Wahrscheinlichkeit der Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| linux | linux kernel | >= 3.16.52, < 3.16.71; >= 4.1.39, < 4.2; >= 4.4.40, < 4.4.185; >= 4.8.16, < 4.9; >= 4.9.1, < 4.9.185; >= 4.10, < 4.14.133; >= 4.15, < 4.19.58; >= 4.20, < 5.1.17 |
| debian | debian linux | 8.0; 9.0; 10.0 |
| fedoraproject | fedora | 29 |
| canonical | ubuntu linux | 16.04; 18.04; 19.04 |
| redhat | enterprise linux | 7.0; 8.0 |
| redhat | enterprise linux for arm 64 | 7.0_aarch64 |
| redhat | enterprise linux for ibm z systems | 7.0_s390x |
| redhat | enterprise linux for real time | 8 |
| redhat | enterprise linux for real time for nfv | 8.0 |
| redhat | enterprise linux for real time for nfv tus | 8.2; 8.4; 8.6; 8.8 |
| redhat | enterprise linux for real time tus | 8.2; 8.4; 8.6; 8.8 |
| netapp | aff a700s firmware | - |
| netapp | h410c firmware | - |
| netapp | h610s firmware | - |
| netapp | active iq unified manager | - |
| netapp | e-series performance analyzer | - |
| netapp | e-series santricity os controller | >= 11.0.0, <= 11.60.3 |
| netapp | hci management node | - |
| netapp | service processor | - |
| netapp | solidfire | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/153663/Linux-PTRACE_TRACEME-Broken-Permission-Object-Lifetime-Handling.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/153702/Slackware-Security-Advisory-Slackware-14.2-kernel-Updates.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154245/Kernel-Live-Patch-Security-Notice-LSN-0054-1.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154957/Linux-Polkit-pkexec-Helper-PTRACE_TRACEME-Local-Root.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156929/Linux-PTRACE_TRACEME-Local-Root.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/165051/Linux-Kernel-5.1.x-PTRACE_TRACEME-pkexec-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://access.redhat.com/errata/RHSA-2019:2405(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2019:2411(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2019:2809(Third Party Advisory)
- https://bugs.chromium.org/p/project-zero/issues/detail?id=1903(Exploit, Issue Tracking, Patch, Third Party Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=1730895(Issue Tracking, Patch)
- https://bugzilla.suse.com/show_bug.cgi?id=1140671(Issue Tracking, Patch, Third Party Advisory)
- https://cdn.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.1.17(Patch, Vendor Advisory)
- https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=6994eefb0053799d2e07cd140df6c2ea106c41ee(Patch, Vendor Advisory)
- https://github.com/torvalds/linux/commit/6994eefb0053799d2e07cd140df6c2ea106c41ee(Patch)
- https://lists.debian.org/debian-lts-announce/2019/07/msg00022.html(Mailing List, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2019/07/msg00023.html(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/OGRK5LYWBJ4E4SRI4DKX367NHYSI3VOH/(Release Notes)
- https://seclists.org/bugtraq/2019/Jul/30(Issue Tracking, Mailing List, Third Party Advisory)
- https://seclists.org/bugtraq/2019/Jul/33(Issue Tracking, Mailing List, Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20190806-0001/(Third Party Advisory)
- https://support.f5.com/csp/article/K91025336(Third Party Advisory)
- https://support.f5.com/csp/article/K91025336?utm_source=f5support&%3Butm_medium=RSS(Third Party Advisory)
- https://usn.ubuntu.com/4093-1/(Third Party Advisory)
- https://usn.ubuntu.com/4094-1/(Third Party Advisory)
- https://usn.ubuntu.com/4095-1/(Third Party Advisory)
- https://usn.ubuntu.com/4117-1/(Third Party Advisory)
- https://usn.ubuntu.com/4118-1/(Third Party Advisory)
- https://www.debian.org/security/2019/dsa-4484(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-13272(US Government Resource)
Schwachstellentyp
CWE-269: Unsachgemäße Rechteverwaltung
Unsachgemäße Rechteverwaltung tritt auf, wenn ein Produkt Rechte für Akteure nicht ordnungsgemäß zuweist, ändert, verfolgt oder prüft. Im Fall des Linux-Kernels führt die fehlerhafte Behandlung von ptrace-Beziehungen dazu, dass ein regulärer Benutzer über speziell konstruierte Eltern-Kind-Prozessbeziehungen Root-Rechte erlangen kann.
Weitere Informationen: CWE-269 — Unsachgemäße Rechteverwaltung
Auswirkungsanalyse
CVE-2019-13272 hat einen CVSS 3.1-Score von 7.8 (HIGH) und stellt eine erhebliche Bedrohung für Linux-Systeme dar. Die Schwachstelle erfordert lokalen Zugriff und minimale Rechte, ist jedoch bei geringer Angriffskomplexität und ohne Benutzerinteraktion ausnutzbar. Eine erfolgreiche Ausnutzung kompromittiert vollständig die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems, da der Angreifer Root-Zugriff erlangt. Die breite Betroffenheit des Linux-Kernels über zahlreiche Versionen und Distributionen hinweg macht diese Schwachstelle besonders gefährlich. Der EPSS-Score von 81,25 % unterstreicht die hohe Wahrscheinlichkeit aktiver Ausnutzung.
Exploit-Reifegrad
CVE-2019-13272 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Mehrere öffentliche Exploit-Codes sind verfügbar, darunter über Packet Storm Security für eine lokale Root-Rechteeskalation über Polkits pkexec-Helper mit PTRACE_TRACEME sowie über Packet Storm Security für Linux Kernel 5.1.x. Der EPSS-Score von 81,25 % (99,15. Perzentile) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an. Der Exploit wurde von Google Project Zero entdeckt und veröffentlicht.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions.
- Aktualisieren Sie den Linux-Kernel auf Version 5.1.17 oder höher. Für ältere Kernel-Versionen prüfen Sie die Backport-Patches Ihrer Distribution: Debian 8/9/10, Ubuntu 16.04/18.04/19.04, Red Hat Enterprise Linux 7/8 und Fedora 29 haben entsprechende Sicherheitsupdates veröffentlicht.
- Als Sofortmaßnahme kann SELinux mit der Option deny_ptrace aktiviert werden, um die Ausnutzung zu verhindern. Alternativ können Sie den ptrace-Scope über sysctl einschränken:
kernel.yama.ptrace_scope = 1oder höher. - Überwachen Sie Systeme auf verdächtige ptrace-Aufrufe, insbesondere PTRACE_TRACEME in Kombination mit Rechteeskalationsversuchen. Überprüfen Sie Audit-Logs auf unerwartete Root-Zugriffe.
- Implementieren Sie langfristig rollenbasierte Zugriffskontrolle und das Least-Privilege-Prinzip. Beschränken Sie den lokalen Zugriff auf kritische Systeme und führen Sie regelmäßige Kernel-Sicherheitsupdates durch.
Technische Details
CVE-2019-13272 betrifft die Funktion ptrace_link in kernel/ptrace.c des Linux-Kernels vor Version 5.1.17. Die Schwachstelle entsteht durch eine fehlerhafte Aufzeichnung der Anmeldeinformationen eines Prozesses, der eine ptrace-Beziehung erstellen möchte. In bestimmten Szenarien mit Eltern-Kind-Prozessbeziehungen, bei denen ein Elternprozess Rechte abgibt und execve aufruft, kann ein Angreifer die fehlerhafte Markierung einer ptrace-Beziehung als privilegiert ausnutzen. Der CVSS-Vektor (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass lokaler Zugriff mit minimalen Rechten ausreicht. Ein typischer Angriffsvektor nutzt Polkits pkexec-Helper mit PTRACE_TRACEME, um Root-Rechte zu erlangen. Die Schwachstelle kann zusätzlich zu einem Kernel-Panic führen, was auf ein zugrundeliegendes Problem mit der Objektlebensdauer hinweist.
Häufig gestellte Fragen
Wird CVE-2019-13272 aktiv ausgenutzt?
Ja. CVE-2019-13272 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Mehrere öffentliche Exploit-Codes sind verfügbar, darunter spezifische Exploits für die Rechteeskalation über Polkits pkexec-Helper. Der EPSS-Score von 81,25 % zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2019-13272 betroffen?
CVE-2019-13272 betrifft den Linux-Kernel in zahlreichen Versionen: 3.16.52 bis 3.16.71, 4.4.40 bis 4.4.185, 4.9.1 bis 4.9.185, 4.10 bis 4.14.133, 4.15 bis 4.19.58 und 4.20 bis 5.1.17. Betroffen sind auch zahlreiche Distributionen einschließlich Debian 8/9/10, Ubuntu 16.04/18.04/19.04, Red Hat Enterprise Linux 7/8 und Fedora 29.
Wie behebe ich CVE-2019-13272?
Aktualisieren Sie den Linux-Kernel auf Version 5.1.17 oder höher, oder installieren Sie die entsprechenden Sicherheitsupdates Ihrer Distribution. Als Sofortmaßnahme kann SELinux mit deny_ptrace aktiviert oder der ptrace-Scope über sysctl eingeschränkt werden.
Wie schwerwiegend ist CVE-2019-13272?
CVE-2019-13272 hat einen CVSS 3.1-Score von 7.8 (HIGH). Die Schwachstelle ermöglicht lokalen Benutzern die vollständige Rechteeskalation zu Root. Der EPSS-Score von 81,25 % (99,15. Perzentile) unterstreicht das hohe Risiko aktiver Ausnutzung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.