Kritische Sicherheitslücke im Linux-Kernel: PwnEscape hebelt die Isolation von VMs aus

[HWL News Bot]

Eine kritische Sicherheitslücke im Linux-Kernel ermöglicht es Angreifern derzeit, die Isolation virtueller Maschinen zu überwinden und auf das zugrunde liegende Hostsystem zuzugreifen. Die als PwnEscape bezeichnete Schwachstelle wird unter der Kennung CVE-2026-99999 geführt und erreicht einen hohen CVSS-Wert von 9,3 (von 10). Besonders davon betroffen sind Betreiber von Cloud-Infrastrukturen und Virtualisierungsservern, auf denen mehrere voneinander getrennte Systeme ausgeführt werden.
... weiterlesen

 

[mikedien]

ooops, und ich hörte immer linux soll ja soooo sicher sein.
naja, habs eh nie geglaubt.

 

[Zyxx]

*seufz*
3/10 für den Troll.

 

[King Loui]

ooops, und ich hörte immer linux soll ja soooo sicher sein.

Im Vergleich zu Windows? Um Dimensionen!

 

[Erklärbär]

..naja.. ..wir wollens mal nicht übertreiben.. ..lese dann schon öfters mal "Linux".

ooops, und ich hörte immer linux soll ja soooo sicher sein.

..sagen wir mal so, bei Linux werden diese Sicherheitslücken schneller gefunden und behoben, da OpenSource und Millionen Entwickler Zugriff darauf haben gemäß Linus law: "Given enough eyeballs, all bugs are shallow", während das bei MS weit weniger Entwickler sind (MS NT-Kernel) und die Patches halt nur i.d.R. monatlich ausgerollt werden. Das ein Linux aber "um Dimensionen" sicherer wäre das halte ich mal für ein Gerücht. Windows ist halt sehr verbreitet, daher auch eine sehr beliebte Spielwiese für Hacker. Das ist dann halt die Kehrseite der Medaille.

 

[HolGORE]

Denke mit 9.3 cve sollte man sie schon ernst nehmen. Einfach mal alles aktualisieren schadet nicht

 

[MariaChio]

Windows ist halt sehr verbreitet, daher auch eine sehr beliebte Spielwiese für Hacker. Das ist dann halt die Kehrseite der Medaille.

Windows ist sehr verbreitet auf Desktop PCs von Tante Erna, Onkel Werner und Gamer Gabriel, ja.

In der Serverwelt, spielt Windows praktisch keine Rolle. Da läuft alles mit FreeBSD oder Linux.
Selbst bei Azure rennt mehr Linux als Windows.

Und wer auch noch Linux nutzt? Jeder Entwickler. Ja, selbst der Entwickler, der Windows auf seiner Kiste hat.
Windows Subsystem for Linux ist das Eingeständnis von Microsoft, dass Windows nix kann und draum ein Linux Kernel braucht 😏
Oder ein homlabber, der mal was in Docker ausprobieren möchte? Rate mal, womit Docker unter Windows läuft.

Darum also die Aussage, Windows sei so die super lukrativen Ziele und würden darum mehr angegriffen, halte ich für mehr als fraglich.
Ich könnte auch behaupten, Windows wird mehr angegeriffen, obwohl die Ziele viel weniger lukrativ sind, einfach weil Windows so viel unsicherer und einfacher zu hacken ist.

 

[passat3233]

Naja, das Windows bzgl. Sicherheit nicht so toll abschneidet, liegt einfach an den Defaulteinstellungen von Windows.
Mit entsprechenden Gruppenrichtlinien und bei Privat-PCs Registryeintellungen kann man Windows sehr sehr deutlich sicherer machen.
Von den möglichen Sicherheitseinstellungen, die Windows bietet, sind per Default nur ca. 40% aktiv.
Das kann man per Gruppenrichtlinien und Registryeinstellungen ändern.

Und sehr viele Sicherheitslücken reißen die Anwender selbst.
Beispielsweise kurze und einfache Passwörter (bei vielen Privat-PCs wird sogar die Passwortabfrage beim Anmelden abgeschaltet!), arbeiten mit Administratorrechten anstatt mit Userrechten, etc. etc.
In Firmenumgebungen haben normale Benutzer meist viel zu weitreichende Rechte, das AD ist nicht entsprechend abgesichert, Privat-und Geschäftssachen werden nicht sauber voneinander getrennt, Netzwerke sind nicht segmentiert, etc.
Hier im Firmennetzwerk kann ein Hacker sogar Benutzername und Kennwort eines Benutzers wissen.
Wenn er sich von einem PC anmeldet, der nicht Domänenmitglied ist, kommt er nicht ins Netzwerk.
Und der PC des Hackers ist nie Mitglied der Domäne und kann es auch ohne manuellen Eingriff eins Domänen-Admins auch nicht werden.
Ein Benutzer aus Abteilung A kann sich nicht an PCs in Abteilung B anmelden.
Benutzer können sich nur zu bestimmten Uhrzeiten anmelden.
Benutzer, die die Firma verlassen haben, sind unmittelbar zu sperren, besser gleich zu löschen.
etc. etc.
Das sind alles Konfigurationseinstellungen und Organisationsvorgaben, die nichts mit dem Betriebssystem zu tun haben.

Da wird insbesondere in kleineren Firmen und im Privatbereich sehr nachlässig gehandelt.
Oft wird Bequemlichkeit vor Sicherheit gestellt.

Und wie nachlässig gehandelt wird, zeigt ein Vorfall aus Dänemark.
Da wurde vor Kurzem das staatliche Personenregister gehackt.
Das Passwort eines Administrators war tatsächlich "123456"!

 

[Shihatsu]

Closed Source verliert immer gegen Open Source, sobald Open Source genügend Teilhaber hat. Linux ist vor allem der Kernel. Ich sag mal so: Android.

 

[Erklärbär]

Windows ist sehr verbreitet auf Desktop PCs von Tante Erna, Onkel Werner und Gamer Gabriel, ja.

Ja, wenn Onkel Werner und Tante Erna auch ihr Onlinebanking darüber machen, passt doch! Gamer Gabriel ist uninteressant, ein Nerd der sich eh nur seinen Führerschein, PS und Mäcces bei Oma Hedwig zusammen schnorrt - die noch, na super, mit Win XP ihr späteres Erbennachlassdepot bei der dörflichen Kreissparkasse Kleinhückersheim online verwaltet. Träumchen für den Ostblock Hobbyhacker! 👍

..vieles wird ja auch medial extrem aufgebläht (Herbstlochnews), siehe zb. den "großen" Windows Oktober "Patchday". Wurde da eine Welle losgetreten: "Boah über 1400 Patches!!!".
Ja, da wurde auch jeden Pfurz im Wind eine CVE zugeordnet ohne mal zu hinterfragen was das überhaupt für Patches waren. Ich habe die mal aufgedröselt gehabt (es gibt ja diese wunderbare Exceldat. zum DL):
1413 CVE zu größtenteils schon lang EoL Software, Nischenprodukten, veralteten Druckertreibern und nur "lokal" nutzbaren Entwicklertools.
78 CVE zur theoretischen Möglichkeit der Codeausführung (RCE) aus der Ferne, teils aber nur auf angemeldeten Umgebungen.
..übrig geblieben ist, tada..
1 CVE ZeroDay Lücke (CVSS Bewertung 93%) die in der Windows Shell Sicherheitswarnungen (MotW) umgeht, aber immer noch verlangt, dass ein Nutzer eine/diese manipulierte Datei aktiv öffnet.

Also, viel Schiss um im Grunde genommen nichts. Aber Clickbait ist halt alles. Und der Witz ist ja, dass wissen leider auch nicht viele, bei CERT zb. ist es so, dass auch Code Korrekturen, also minimale Änderungen am Schadcode, die aber noch nicht den Bug bereinigt haben, im CERT Protokollierungssystem aufgrund geänderter Prüfsumme gleich eine neue CVE aufgestempelt bekommen. Also zwei CVE zum selben Schadcode. Da passierts dann halt nicht selten, dass man da mal so10x hintereinander beim Filtern CVEs liest wo zb.: "Kann xxx bei xxx unter xxx nach aktivieren von xxx bei xxx auslösen" und sich fragt, hatten wir das nicht schon mal? Aber hey, 10 CVE lesen sich halt schöner als 1 und wenn einem der Inhalt der CVE eh Wumpe ist und Clickbait alles..👍

 

[passat3233]

Was die MotW angeht:
Das gibt es eh nur auf NTFS- und ReFS-Laufwerken.
Das ist nämlich nur ein Eintrag im ADS und ADS gibts bei FAT/exFAT nicht.
Bei FAT/exFAT gibts also keine Möglichkeit, das MotW zu speichern.
Beim Verschieben auf ein FAT/exFAT-Laufwerk geht also auch das MotW verloren.
Das MotW ist daher nur Scheinsicherheit.

 

[Erklärbär]

Mir gehts ja eher darum, dass irgend ein Hansel in einer Onlineschreiberstubl nun meinte, hey mein chef kennt nicht mal mehr meinen Namen jetzt muss ich aber mal wieder was posten und dann halt den berühmten Flopfurz zum globalen Klimatornado aufgebläht hat.

ps: Viele dieser CVE Meldungen haben ja auch praktisch eigentlich so gut wie null Relevanz, da dort oft sehr "exotische" Auslöseszenarien entstehen müssen, die praktisch nie entstehen. Warum gibt es die dennoch in dieser Masse? Ganz einfach -> Haftungs- und Transparenzfragen. BSI und CERT-Bund zb. müssen gesetzlich jede potenzielle Lücke melden, um Administratoren in Behörden und kritischen Infrastrukturen (Krankenhäuser, Finanzbehörden, Stromnetze) abzusichern. Da sind die gesetzlich zu verpflichtet. Werden die beachtet und umgesetzt? Naja.. ..das ist wieder ein anderes Thema da kann ich aus persönlicher Erfahrung, der im Team Finanzbehörden NRW von Kirspe bis Köln mit neuer IT nachgerüstet hat, so manchen Schwanck zum besten geben.

 

[passat3233]

Und die Folgen der Behördendenke bzgl. IT-Sicherheit sieht man ja z.B. in Berlin, Eichstätt, Rheinland-Pfalz, Rodgau, oder letztes Jahr bei der Südwestfalen-IT.

 

[MariaChio]

Ja, wenn Onkel Werner und Tante Erna auch ihr Onlinebanking darüber machen, passt doch!

Naja, für Online Banking brauchts dann schon noch bisschen mehr, als "nur" Vollzugriff über einen PC.
Darum ist Tante Ernas Onlinebanking nicht lukrativ.

Das Krankenhaus XY für 500k zu erpressen, weil jemand die von @passat3233 gut erklärten Punkte nicht erfüllt, ist da schon deutlich einfacher.

Einzig würde ich zu @passat3233 ergänzen, dass eben schlechte defaults, auch ein OS unsicher machen.
Ich bin fast vom Stuhl gefallen vor lachen, als der Windows Server Verantwortliche DACH an einer Präsentation stolz wie Bolle erzählt hat, dass Windows Server 2025 der login dank eines leichten delays gegen brute force besser geschützt ist. Hat halt jedes andere OS seit jahrzehnten, aber bei MS ist das eine tolle Neuerung.