CVE-2023-0386
Linux Kernel Improper Ownership Management Vulnerability
Beschreibung
CVE-2023-0386 ist eine Privilegieneskalations-Schwachstelle im Linux-Kernel, die das OverlayFS-Subsystem betrifft. Ein lokaler Benutzer mit niedrigen Privilegien kann durch einen Fehler im UID-Mapping beim Kopieren von Dateien mit gesetztem setuid-Bit von einem nosuid-Mount in einen anderen Mount seine Rechte auf dem System eskalieren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.8 (HIGH) bewertet und betrifft mehrere Kernel-Versionen sowie gaengige Linux-Distributionen.
Die CISA hat CVE-2023-0386 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 8. Juli 2025. Der EPSS-Score von 61.56 % (98. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Da der Linux-Kernel in nahezu allen Serverumgebungen und Cloud-Infrastrukturen eingesetzt wird, ist die potenzielle Angriffsflaeche enorm.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| debian | debian linux | 10.0 |
| netapp | h300s firmware | - |
| netapp | h500s firmware | - |
| netapp | h700s firmware | - |
| netapp | h410s firmware | - |
| netapp | h410c firmware | - |
| canonical | ubuntu linux | 18.04; 20.04; 22.04 |
| linux | linux kernel | >= 5.11, < 5.15.91; >= 5.16, < 6.1.9; 6.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/173087/Kernel-Live-Patch-Security-Notice-LSN-0095-1.html(Third Party Advisory)
- https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=4f11ada10d0a(Broken Link, Mailing List, Patch, Vendor Advisory)
- https://lists.debian.org/debian-lts-announce/2023/06/msg00008.html(Mailing List, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2024/06/msg00020.html(Mailing List, Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20230420-0004/(Third Party Advisory)
- https://www.debian.org/security/2023/dsa-5402(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-0386(US Government Resource)
Schwachstellentyp
CWE-282: Unsachgemaesse Eigentumsverwaltung
CVE-2023-0386 basiert auf CWE-282 (Unsachgemaesse Eigentumsverwaltung), einer Schwachstellenklasse, bei der die Eigentuemerschaft von Ressourcen nicht korrekt verwaltet oder verifiziert wird. Im Linux-Kernel-OverlayFS wird beim Kopieren einer Datei mit Capabilities von einem nosuid-Mount die UID-Zuordnung nicht ordnungsgemaess geprueft, sodass ein unprivilegierter Benutzer eine Datei mit setuid-Bit und Root-Rechten erstellen kann.
Weitere Informationen: CWE-282 -- Unsachgemaesse Eigentumsverwaltung
Auswirkungsanalyse
Die Auswirkungen von CVE-2023-0386 sind durch die vollstaendige lokale Privilegieneskalation besonders schwerwiegend. Der CVSS-Vektor zeigt einen lokalen Angriffsvektor (AV:L) mit niedriger Komplexitaet (AC:L) und niedrigen erforderlichen Privilegien (PR:L). Alle drei Impact-Metriken -- Vertraulichkeit, Integritaet und Verfuegbarkeit -- sind auf High gesetzt. Ein erfolgreicher Angriff ermoeglicht einem lokalen Benutzer die Eskalation zu Root-Rechten, was die vollstaendige Kontrolle ueber das System bedeutet. In Multi-Tenant-Umgebungen, Containerisierungsplattformen und Cloud-Instanzen ist diese Schwachstelle besonders kritisch, da ein kompromittierter Benutzer oder Container-Prozess die Isolation durchbrechen kann. Der EPSS-Score von 61.56 % (98. Perzentil) signalisiert eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung.
Exploit-Reifegrad
CVE-2023-0386 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung in freier Wildbahn, mit einer Behebungsfrist bis zum 8. Juli 2025. Der EPSS-Score von 61.56 % (98. Perzentil) platziert diese Schwachstelle unter den am staerksten ausgenutzten Schwachstellen weltweit. Die Schwachstelle wurde in mehreren Sicherheitsadvisories von Debian, Ubuntu und NetApp dokumentiert, und Kernel-Patches sind ueber das offizielle Git-Repository verfuegbar. Die relativ einfache Ausnutzbarkeit -- ein lokaler Benutzer mit niedrigen Privilegien genuegt -- macht diese Schwachstelle zu einem attraktiven Ziel fuer Post-Exploitation und laterale Bewegung in kompromittierten Netzwerken.
Behebung
-
Kernel-Update installieren: Aktualisieren Sie den Linux-Kernel auf eine gepatchte Version. Betroffene Versionen umfassen Kernel 5.11 bis vor 5.15.91, 5.16 bis vor 6.1.9 sowie Version 6.2. Der Fix ist im offiziellen Kernel-Commit 4f11ada10d0a enthalten.
-
Distributionsspezifische Patches anwenden: Fuer Debian 10 steht DSA-5402 bereit, fuer Ubuntu 18.04/20.04/22.04 sind Kernel-Live-Patches ueber LSN-0095-1 verfuegbar. Pruefen Sie die jeweiligen Distributionsadvisories fuer Ihre Linux-Version.
-
OverlayFS-Nutzung einschraenken: Als temporaere Massnahme koennen Sie die Verwendung von OverlayFS durch unprivilegierte Benutzer einschraenken. Deaktivieren Sie User Namespaces, sofern diese nicht benoetigt werden, da sie fuer die Ausnutzung erforderlich sind.
-
Container-Umgebungen pruefen: In Docker- und Kubernetes-Umgebungen, die OverlayFS als Storage-Driver verwenden, ist die Schwachstelle besonders relevant. Aktualisieren Sie die Host-Kernel aller Container-Nodes.
-
Monitoring implementieren: Ueberwachen Sie Systemlogs auf ungewoehnliche OverlayFS-Mountoperationen und verdaechtige setuid-Dateioperationen. Implementieren Sie Audit-Regeln fuer Aenderungen an Dateiberechtigungen und Capabilities.
Technische Details
CVE-2023-0386 betrifft das OverlayFS-Subsystem des Linux-Kernels. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass ein lokaler Zugang mit niedrigen Privilegien ausreicht. Die Schwachstelle liegt in der Art und Weise, wie der Kernel beim Kopieren von Dateien zwischen OverlayFS-Schichten die UID-Zuordnung handhabt. Wenn ein Benutzer eine Datei mit gesetzten Capabilities von einem nosuid-Mount in einen anderen Mount kopiert, wird die UID-Pruefung nicht korrekt durchgefuehrt. Dies ermoeglicht es einem unprivilegierten Benutzer, eine Datei mit setuid-Bit und erweiterten Capabilities zu erstellen, die bei Ausfuehrung mit Root-Rechten laeuft. Der Scope bleibt unveraendert (S:U), aber da Root-Rechte auf dem Host erlangt werden, ist die Auswirkung praktisch eine vollstaendige Systemuebernahme.
Häufig gestellte Fragen
Wird CVE-2023-0386 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-0386 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Der EPSS-Score von 61.56 % (98. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle ist besonders attraktiv fuer Post-Exploitation-Szenarien, in denen ein Angreifer bereits begrenzten Zugang zu einem System erlangt hat.
Welche Produkte sind von CVE-2023-0386 betroffen?
Betroffen sind Linux-Kernel-Versionen 5.11 bis vor 5.15.91, 5.16 bis vor 6.1.9 sowie Version 6.2. Dies umfasst Debian 10, Ubuntu 18.04/20.04/22.04 sowie NetApp-Speichersysteme (H300S, H500S, H700S, H410S, H410C). Alle Linux-Distributionen, die diese Kernel-Versionen verwenden, sind potenziell betroffen.
Wie behebe ich CVE-2023-0386?
Installieren Sie ein Kernel-Update auf eine gepatchte Version (5.15.91+, 6.1.9+ oder neuere Releases). Fuer Debian und Ubuntu stehen distributionsspezifische Patches bereit. Als Sofortmassnahme koennen User Namespaces deaktiviert werden, um die Ausnutzung zu verhindern.
Wie schwerwiegend ist CVE-2023-0386?
Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score im 98. Perzentil ist CVE-2023-0386 eine schwerwiegende Schwachstelle. Sie ermoeglicht einem lokalen Benutzer die Eskalation zu Root-Rechten, was in Multi-Tenant- und Container-Umgebungen besonders kritisch ist.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.