Gammalt Linux-hull åpner smarttelefoner
Ni år gammelt hull truer verdens mest populære mobiler. Og nær halvparten av serverne.
De fleste distributørene med egen Linux-variant har det travelt med å tette et gammelt sikkerhetshull i Linux-kjernen. Hullet har vært der i ni år, men først i år er det demonstrert brukt på nett og det rammer de få Linux-pc-ene, de mange serverne og de enormt mange nettverksdingsene og småtingene som bruker et eller annet Linux-derivat.
Grovt sett alle rammet
Hullet rammer også Android OS, den Google-kontrollerte Linux-varianten som driver 86 prosent av verdens smarttelefoner.
Den ble introdusert med kjerneversjon 2.6.22 i 2007, noe som grovt sett vil si at alle Linux-varianter som er i bruk i dag er utsatt for svakheten.
Hullet fungerer slik at en hacker kan bruke en begrenset gjestebrukerkonto i et Linux-system til å skaffe seg systemtilgang til rotnivået. Derfra kan effektivt hele systemet kontrolleres som en administrator.
Teknikken som brukes er en «copy-on-write (COW)»-feil i minnehåndteringen i Linux. Dermed har hullet fått navnet Dirty Cow i sikkerhetsmiljøet.
Hullet er nå tettet i alle hoveddistroer av Linux som blant annet brukes i servere. Dette inkluderer Red Hat, Debian, Ubuntu, Gentoo og Suse. I forrige uke garanterte også Linus Thorvalds, Linux-oppfinneren som fortsatt har avgjørende kjernekontroll over Linux, at kjernen skal tettes.
Tett servere og forsiktig med mobil
Selv om effekten er alvorlig, er det ikke en enkel feil å utnytte. EN angriper må på en eller annen måte ha direkte tilgang til Linux-systemet og dets brukerkontosystem. Selv om dette kan gjøres over nett, krever det igjen at det finnes en eller annen annen svakhet tilstede som brøyter vei inn i brukerkontosystemet.
Derfor er feilen ikke ansett å være kritisk. Men selskaper som tilbyr servertjenester via nett er utsatt for angrep gjennom å tilby denne tjenesten i seg selv. Alle som drifter Linux-servere er anbefalt å oppdatere og sikre servere snarest, skriver PC World i US.
For brukere av Android, så er det opp til mobilprodusenten å tette slik hull. Her kan det gå votter og vintre før det skjer, så det gjelder å være ekstra påpasselig om noen vil lokke en bruker til å klikke på en eller annen fremmed programvaresnutt/lenke. Tredjeparts apper bør håndteres med sterk skepsis. Og i teorien kan de være en risiko å bruke usb for å kople seg til en pc.
