Sieben Jahre alte Schwachstelle im Linux-Kernel
23. März 2017
Es kommt nicht alle Tage vor, dass eine bereits seit sieben Jahren existierende Sicherheitslücke erst jetzt aufgedeckt wird. Daher ist es sinnvoll, an diesem Beispiel aufzuzeigen, warum Anwender, die sich bei der Absicherung lediglich auf Firewalls, Antivirenlösungen und traditionelle Intrusion Protection Systeme verlassen, deutlich zu kurz springen. Der konkrete Fall macht klar, dass es eben nicht ausreicht, lediglich den Datenverkehr am Netzwerkrand zu überwachen und zu kontrollieren, den internen Netzwerkverkehr aber außer Acht zu lassen. Denn versierte Angreifer, die in der Lage sind, in einem verwundbaren System einen Brückenkopf zu bilden, können diese Präsenz dann nutzen, um sich unentdeckt im internen Netz auszubreiten.
Die Wahrscheinlichkeit ist nicht gering, dass versierte Cyberkriminelle in den letzten sieben Jahren die erst jetzt dokumentierte Schwachstelle bereits entdeckt haben. In diesem Fall kann es zu einer ersten Kompromittierung gekommen sein, die quasi kaum zu verhindern gewesen wäre. Von entsprechend großer Bedeutung ist es, im Netz selbst verdächtige Aktivitäten, die von Angreifern stammen können, zu erfassen und zu analysieren. Denn nur dann lässt sich einem Datenabfluss zum frühestmöglichen Zeitpunkt ein Riegel vorschieben, um Folgeschäden zu vermeiden.
Vergleichbar ist die Situation mit einem Einbruch in ein Gebäude. Hat der Dieb eine ungesicherte Tür gefunden, die äußeren Sicherheitssysteme umgangen und kann sich nun im Haus frei bewegen, ist der größtmögliche Schaden fast schon gewährleistet. Nur, wenn auch in Räumlichkeiten weitere Systeme aktiv sind, die ein unerlaubtes Eindringen erkennen und entsprechende Maßnahmen initiieren, lassen sich die negativen Folgen des Einbruchs minimieren.
Auch wenn mittlerweile ein Patch vorhanden ist, kann man davon ausgehen, dass noch eine große Zahl nicht gepatchter Systeme mit angreifbarem Linux-Kernel weltweit ihre Dienste verrichten. Zudem lauern in den Betriebssystemkernen – einerlei, ob es sich um Systeme unter Linux, Windows, Solaris oder einem anderen OS handelt – definitiv noch weitere, bislang noch nicht allgemein bekanntgewordene Lücken. Der Einbrecher ist also vielleicht schon drin.
