Lek in apt maakte uitvoeren van code als root mogelijk
Een beveiligingslek in de package manager apt maakte het mogelijk voor aanvallers om in bepaalde gevallen op afstand code met rootrechten uit te voeren. De aanval was mogelijk in het geval een aanvaller een man-in-the-middle-positie had of er met een kwaadaardige package mirror verbinding werd gemaakt.
Dat laat beveiligingsonderzoeker Max Justicz weten die de kwetsbaarheid ontdekte. Het door Debian ontwikkelde apt speelt een belangrijke rol bij het up-to-date houden van sommige besturingssystemen. Het zoeken naar beschikbare updates en packages door apt loopt vaak standaard via het onversleutelde http. Een aanvaller op hetzelfde netwerk kan zodoende het verkeer van de gebruiker onderscheppen. De onderzoeker ontdekte dat de aanvaller een antwoord op een specifiek apt-verzoek kan geven waarbij er een kwaadaardig bestand wordt aangeboden.
Apt controleert wel de checksum van een package, maar met deze aanval kan de aanvaller doorgeven dat de checksum van het kwaadaardige bestand de juiste is. De kwetsbaarheid met CVE-nummer 2019-3462 is in de laatste versie van apt gepatcht. Gebruikers die bang zijn dat ze tijdens het updateproces worden aangevallen kunnen zich beschermen door http-redirects tijdens de update uit te schakelen. Verder stelt Justicz dat het beter zou zijn om repositories standaard via https aan te bieden en gebruikers zelf de keuze te bieden om naar http te downgraden.
apt -o Acquire::http::AllowRedirect=false update
apt -o Acquire::http::AllowRedirect=false upgrade
https://www.debian.org/security/2019/dsa-4371
Slordig dat dit niet in het artikel genoemd wordt.
Dat er mensen (beheerders) zijn die hun systemen niet bijhouden, dàt maakt systemen kwetsbaar. Maar iemand die zijn syste(e)m(en) braaf bijhoudt is mijns inziens het meest veilig met Linux en BSD, onder de voorwaarde dat men netjes alle updates en patches installeert.
Goed bezig? Hoe lang is deze exploit al bekend, dat is wat ik mij dan afvraag. Het binnenhalen van packages wordt standaard ook over HTTP aangeboden, dammn. Dat wist ik niet.
"Verder stelt Justicz dat het beter zou zijn om repositories standaard via https aan te bieden en gebruikers zelf de keuze te bieden om naar http te downgraden."
Eigenlijk had dit allang gemoeten!
Dit vind ik echt een groot plus punt van Linux (mint).
Goed bezig? Hoe lang is deze exploit al bekend, dat is wat ik mij dan afvraag.
De vraag is natuurlijk of dit lek ook al door kwaadwillenden is ontdekt en misbruikt. Dat kan je niet uitsluiten, maar de kans dat dat op grote schaal is misgegaan lijkt me klein. Waarom? Omdat de kans dat er ergens ontdekt wordt dat er iets niet klopt groter wordt naarmate het op meer systemen misgaat, en als dat meer dan incidenteel gebeurt wordt het moeilijk om niet op een gegeven moment een verdenking te ontwikkelen dat er in apt zelf iets mis is en daar het onderzoek op te richten. Als dat gebeurt hoor je erover (bijvoorbeeld op deze website), en dat heb ik niet zien gebeuren. Da's geen garantie, maar als naar aanleiding van dit lek alsnog systemen worden ontdekt waar dingen niet kloppen (en er zullen mensen zijn die systemen gaan controleren) dan gaan we dat ongetwijfeld horen.
Eigenlijk had dit allang gemoeten!
De vraag is natuurlijk of dit lek ook al door kwaadwillenden is ontdekt en misbruikt. Dat kan je niet uitsluiten, maar de kans dat dat op grote schaal is misgegaan lijkt me klein. Waarom? Omdat de kans dat er ergens ontdekt wordt dat er iets niet klopt groter wordt naarmate het op meer systemen misgaat, en als dat meer dan incidenteel gebeurt wordt het moeilijk om niet op een gegeven moment een verdenking te ontwikkelen dat er in apt zelf iets mis is en daar het onderzoek op te richten. Als dat gebeurt hoor je erover (bijvoorbeeld op deze website), en dat heb ik niet zien gebeuren. Da's geen garantie, maar als naar aanleiding van dit lek alsnog systemen worden ontdekt waar dingen niet kloppen (en er zullen mensen zijn die systemen gaan controleren) dan gaan we dat ongetwijfeld horen.
Akkoord, blijft wel in je achterhoofd spoken natuurlijk.
Nein. ik maak amper gebruik van Debian of versies van Debian. Dus vandaag dat ik het niet wist :-) Ik heb wel eens gekeken in de /etc/apt/sources.list volgens mij om een aantal opties toe te voegen. Maar dat was een hele lange tijd geleden, Debian Lenny of Etch.
Eigenlijk had dit allang gemoeten!
Klopt, maar als je zoals jij eigenlijk ook al schetst een korte kosten baten afweging maakt zie ik eigenlijk weinig redenen om niet te switchen naar https. Los van het feit dat zon change niet van vandaag of morgen doorgevoert is. Eigenlijk verwacht je van somimge distributies (En Debian hoort daar zeker bij) Dat dit soort update mechanismes gewoon via https lopen. De kans is klein dat er iets misgaat en het blijft een stukje scheinveiligheid, But still.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
