CVE-2023-4911
GNU C Library Buffer Overflow Vulnerability
Beschreibung
CVE-2023-4911, bekannt als 'Looney Tunables', ist ein kritischer Heap-Buffer-Overflow im dynamischen Linker ld.so der GNU C Library (glibc), ausgeloest durch eine fehlerhafte Verarbeitung der Umgebungsvariable GLIBC_TUNABLES. Die Schwachstelle ermoeglicht es lokalen Angreifern mit niedrigen Privilegien, durch das Einschleusen manipulierter Umgebungsvariablen beim Start von SUID-Binaerdateien Root-Rechte zu erlangen. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score von 57,2 % (98,1. Perzentile) stellt CVE-2023-4911 ein erhebliches Risiko fuer alle Linux-Systeme mit glibc dar und ist im KEV-Katalog der CISA als aktiv ausgenutzt gelistet. Betroffen sind unter anderem Red Hat Enterprise Linux, Fedora und weitere glibc-basierte Distributionen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| netapp | bootstrap os | - |
| siemens | simatic s7-1500 cpu 1518-4 pn\/dp mfp firmware | >= 3.1.5 |
| siemens | simatic s7-1500 cpu 1518f-4 pn\/dp mfp firmware | >= 3.1.5 |
| siemens | siplus s7-1500 cpu 1518-4 pn\/dp mfp firmware | >= 3.1.5 |
| siemens | simatic s7-1500 tm mfp firmware | < 1.1 |
| gnu | glibc | >= 2.34, < 2.39 |
| fedoraproject | fedora | 37; 38; 39 |
| redhat | codeready linux builder | 9.0 |
| redhat | codeready linux builder eus | 8.6; 9.2; 9.4; 9.6 |
| redhat | codeready linux builder for arm64 | 9.0_aarch64 |
| redhat | codeready linux builder for arm64 eus | 8.6; 9.2_aarch64; 9.4_aarch64; 9.6_aarch64 |
| redhat | codeready linux builder for ibm z systems | 9.0_s390x |
| redhat | codeready linux builder for ibm z systems eus | 8.6; 9.2_s390x; 9.4_s390x; 9.6_s390x |
| redhat | codeready linux builder for power little endian | 9.0_ppc64le |
| redhat | codeready linux builder for power little endian eus | 8.6; 9.2_ppc64le; 9.4_ppc64le; 9.6_ppc64le |
| redhat | virtualization | 4.0 |
| redhat | virtualization host | 4.0 |
| redhat | enterprise linux | 8.0; 9.0 |
| redhat | enterprise linux eus | 8.6; 9.2; 9.4; 9.6 |
| redhat | enterprise linux for arm 64 | 9.0_aarch64 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://access.redhat.com/errata/RHSA-2023:5453(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2023:5454(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2023:5455(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2023:5476(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2024:0033(Third Party Advisory)
- https://access.redhat.com/security/cve/CVE-2023-4911(Third Party Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=2238352(Issue Tracking, Patch)
- https://www.qualys.com/2023/10/03/cve-2023-4911/looney-tunables-local-privilege-escalation-glibc-ld-so.txt(Exploit, Third Party Advisory)
- https://www.qualys.com/cve-2023-4911/(Third Party Advisory)
- http://packetstormsecurity.com/files/174986/glibc-ld.so-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/176288/Glibc-Tunables-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2023/Oct/11(Exploit, Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2023/10/03/2(Exploit, Mailing List)
- http://www.openwall.com/lists/oss-security/2023/10/03/3(Mailing List)
- http://www.openwall.com/lists/oss-security/2023/10/05/1(Mailing List)
- http://www.openwall.com/lists/oss-security/2023/10/13/11(Mailing List)
- http://www.openwall.com/lists/oss-security/2023/10/14/3(Mailing List)
- http://www.openwall.com/lists/oss-security/2023/10/14/5(Mailing List)
- http://www.openwall.com/lists/oss-security/2023/10/14/6(Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/4DBUQRRPB47TC3NJOUIBVWUGFHBJAFDL/(Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/DFG4P76UHHZEWQ26FWBXG76N2QLKKPZA/(Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/NDAQWHTSVOCOZ5K6KPIWKRT3JX4RTZUR/(Mailing List)
- https://security.gentoo.org/glsa/202310-03(Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20231013-0006/(Third Party Advisory)
- https://www.debian.org/security/2023/dsa-5514(Mailing List)
- https://www.exploit-db.com/exploits/52479(Exploit, Third Party Advisory, VDB Entry)
- https://cert-portal.siemens.com/productcert/html/ssa-082556.html(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/html/ssa-794697.html(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/html/ssa-831302.html(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-4911(US Government Resource)
Schwachstellentyp
CWE-122: Heap-based Buffer Overflow
CWE-122 beschreibt einen Buffer-Overflow, bei dem Daten ueber die Grenzen eines auf dem Heap allokierten Puffers hinausgeschrieben werden. Bei CVE-2023-4911 verarbeitete der dynamische Linker ld.so die GLIBC_TUNABLES-Umgebungsvariable ohne ausreichende Laengenpruefung, wodurch speziell konstruierte Werte einen Heap-Overflow ausloesen und Code mit erhoehten Rechten ausgefuehrt werden konnte.
Mehr erfahren: CWE-122 — Heap-based Buffer Overflow
CWE-787: Out-of-Bounds Write
CWE-787 beschreibt das Schreiben von Daten ausserhalb der vorgesehenen Speichergrenzen. Der Heap-Buffer-Overflow bei CVE-2023-4911 fuehrt konkret zu einem Out-of-Bounds Write: Unkontrollierte Daten aus der GLIBC_TUNABLES-Variable ueberschreiben angrenzende Speicherbereiche auf dem Heap, was die Grundlage fuer die Privilege-Escalation-Ausnutzung bildet.
Mehr erfahren: CWE-787 — Out-of-Bounds Write
Auswirkungsanalyse
CVE-2023-4911 ist lokal ausnutzbar und erfordert lediglich niedrige Privilegien (ein normales Benutzerkonto) sowie keine Benutzerinteraktion. Mit einem CVSS-Score von 7.8 (HIGH) ermoeglicht die Schwachstelle vollstaendige Kompromittierung von Vertraulichkeit, Integritaet und Verfuegbarkeit – was in der Praxis der vollstaendigen Root-Uebernahme des Systems entspricht. Der aussergewoehnlich hohe EPSS-Score von 57,2 % (98,1. Perzentile) zeigt, dass diese Schwachstelle in der realen Welt aktiv und in erheblichem Umfang ausgenutzt wird. Da glibc auf nahezu jedem Linux-System vorhanden ist und SUID-Binaerdateien (wie su, sudo, passwd) in jeder Linux-Installation vorkommen, ist die Angriffsflaeche extrem gross. Angreifer mit lediglich einem Benutzerkonto auf einem betroffenen System koennen sich damit unmittelbar zu Root-Rechten eskalieren.
Exploit-Reifegrad
CVE-2023-4911 wird aktiv und in erheblichem Umfang ausgenutzt: Der EPSS-Score von 57,2 % (98,1. Perzentile) gehoert zu den hoechsten fuer lokal ausnutzbare Schwachstellen und bestaetigt eine massiv hohe reale Ausnutzungsrate. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen (Behebungsfrist: 12. Dezember 2023). Oeffentlich verfuegbare Proof-of-Concept-Exploits, die kurz nach der koordinierten Offenlegung durch Qualys im September 2023 veroeffentlicht wurden, erleichtern die Ausnutzung erheblich und tragen zur hohen Ausnutzungsrate bei. In Szenarien, in denen Angreifer bereits initialen Zugriff auf ein Linux-System erlangt haben (z. B. durch Web-Shell, Phishing oder schwache Passwoerter), nutzen sie CVE-2023-4911 als zuverlaessige Methode zur lokalen Privilege Escalation auf Root.
Behebung
- glibc-Pakete aktualisieren: Sicherheitsupdates ueber den Paketmanager der jeweiligen Distribution einspielen (z. B.
dnf update glibcunter RHEL/Fedora) - Red Hat Enterprise Linux: Sicherheits-Advisories RHSA-2023:5453, RHSA-2023:5454, RHSA-2023:5455 und RHSA-2023:5476 anwenden
- Fedora: Aktualisierte glibc-Pakete ueber
dnf updateeinspielen - Ubuntu/Debian: Entsprechende Distribution-Advisories pruefen und glibc/libc6-Pakete aktualisieren
- NetApp Bootstrap OS: Vendor-Advisories von NetApp verfolgen und Updates einspielen
- Systemneustart: Nach der Aktualisierung sollten laufende Prozesse neu gestartet werden, da glibc von laufenden Prozessen weiter genutzt wird; bei kritischen Systemen empfiehlt sich ein vollstaendiger Neustart
- Zugriffskontrolle: Als temporaere Massnahme SUID-Bits nicht benoetigter Binaerdateien entfernen (
chmod -s <binary>), bis Patches eingespielt sind - Monitoring: Ungewoehnliche Prozessaktivitaeten mit Privilege-Escalation-Mustern ueberwachen
Technische Details
CVE-2023-4911 ('Looney Tunables') betrifft den dynamischen Linker ld.so in der GNU C Library (glibc). Die Schwachstelle liegt in der Verarbeitung der GLIBC_TUNABLES-Umgebungsvariable: Beim Start einer SUID-Binaerdatei verarbeitet ld.so diese Variable ohne ausreichende Laengen- und Inhaltspruefung. Ein manipulierter Wert loest einen Heap-Buffer-Overflow (CWE-122) aus, der gleichzeitig ein Out-of-Bounds Write (CWE-787) darstellt. Da SUID-Binaerdateien mit den Rechten des Eigentuemers (typischerweise Root) starten, kann der Angreifer durch den Overflow Code im Kontext des erhoehten Prozesses ausfuehren. Der CVSS 3.1-Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H spiegelt dies wider: lokal ausnutzbar, geringe Komplexitaet, niedrige Privilegien ausreichend, keine Benutzerinteraktion. Die Schwachstelle wurde im September 2023 durch das Sicherheitsunternehmen Qualys entdeckt und koordiniert offengelegt. Proof-of-Concept-Exploits sind oeffentlich verfuegbar, was zur hohen realen Ausnutzungsrate beitraegt.
Häufig gestellte Fragen
Wird CVE-2023-4911 aktiv ausgenutzt?
Ja. CVE-2023-4911 ist im KEV-Katalog der CISA als aktiv ausgenutzt gelistet (Behebungsfrist: 12. Dezember 2023). Der EPSS-Score von 57,2 % (98,1. Perzentile) gehoert zu den hoechsten fuer lokal ausnutzbare Schwachstellen. Oeffentlich verfuegbare Proof-of-Concept-Exploits erleichtern die Ausnutzung erheblich und tragen zur hohen Ausnutzungsrate bei.
Welche Produkte sind von CVE-2023-4911 betroffen?
Betroffen ist die GNU C Library (glibc) in Versionen mit der GLIBC_TUNABLES-Funktion, konkret: GNU glibc, Red Hat Enterprise Linux und seine Derivate (RHEL 8, 9, Fedora), NetApp Bootstrap OS sowie alle anderen glibc-basierten Linux-Distributionen, die keine Sicherheitsupdates eingespielt haben. Die Schwachstelle betrifft nahezu alle Linux-Systeme, da glibc eine fundamentale Kernkomponente ist.
Wie behebe ich CVE-2023-4911?
Die Behebung erfolgt durch Einspielen der Sicherheitsupdates der jeweiligen Linux-Distribution: Unter RHEL/Fedora ueber dnf update glibc, auf anderen Distributionen ueber den entsprechenden Paketmanager. Nach dem Update ist ein Systemneustart oder zumindest ein Neustart aller laufenden Dienste empfehlenswert. Als temporaere Massnahme koennen SUID-Bits nicht benoetigter Binaerdateien entfernt werden.
Wie schwerwiegend ist CVE-2023-4911?
CVE-2023-4911 ist mit einem CVSS-Score von 7.8 (HIGH) eingestuft und ermoeglicht die vollstaendige lokale Privilege Escalation auf Root. Obwohl nur lokal ausnutzbar, ist die praktische Gefaehrlichkeit extrem hoch: Jedes Angreifer-Konto auf einem Linux-System mit ungepatchter glibc kann damit unmittelbar Root-Rechte erlangen. In Kombination mit anderen Schwachstellen oder bei Systemen mit mehreren Benutzern ist das Risiko als kritisch einzustufen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.