Linux Mint hack und glibc-Lücke

Hauke Stieler 22. Februar 2016 2 Kommentare

In den Letzten Tagen war ja mal bei Linux Mint und bei den C Entwicklern ordentlich was los. Zum einen wurde der Server von Linux Mint gehackt, wodurch eine veränderte ISO zum Download bereit stand, und zum anderen gab es eine recht schwerwiegende Lücke in der C Bibliothek glibc.

Im Zuge des Hacks und der Sicherheitslücke in der glibc stellt sich dabei die Frage ob die Distribution Linux Mint, welche mittlerweile die beliebteste ist, wirklich die beste ist.

Linux Mint hack

Am 20.2. wurde der Server von Linux Mint, auf dem die ISO Dateien von Mint 17.3 liegen, gehackt und die ISOs durch mit einer Backdoor versehenen ersetzt. Der Fehler wurde jedoch schnell bemerkt und behoben, sodass schon am selben Tag die richtigen ISOs wieder online waren. Wer von mirror-Servern geladen hat ist eventuell(!) nicht betroffen, da die Spiegelung nicht in Echtzeit geschieht. Trotzdem sollte man überprüfen ob die ISO korrekt ist (s.u.).

Auch das Forum war betroffen, so sollen Nutzer des Linux Mint Forums schnellstmöglich das Passwort ändern, da der Angreifer eine Kopie der Datenbank erbeutet hat. Derzeit (Veröffentlichung des Posts) ist dieses nicht erreichbar, was mit dem Angriff zusammenhängt.

Das Mint-Team hat dabei schnell Blog-posts veröffentlicht und die Nutzer gewarnt und informiert, diese Transparenz sieht man nicht immer und sollte trotz aller Kritik gelobt werden.

ISOs auf Echtheit überprüfen

Wer am 20.2. eine ISO heruntergeladen hat und sich nicht sicher ist ob diese kompromittiert ist, sollte einen md5-Hash anfertigen und ihn mit den echten vergleichen. Dazu einfach ein Terminal öffnen und md5sum mint-iso-datei.iso eingeben, dann wird der md5-Hash berechnet (unter Windows ist es certUtil -hashfile mint-iso-datei.iso MD5).

Die korrekten Hashes sind:
6e7f7e03500747c6c3bfece2c9c8394f  linuxmint-17.3-cinnamon-32bit.iso
e71a2aad8b58605e906dbea444dc4983  linuxmint-17.3-cinnamon-64bit.iso
30fef1aa1134c5f3778c77c4417f7238  linuxmint-17.3-cinnamon-nocodecs-32bit.iso
3406350a87c201cdca0927b1bc7c2ccd  linuxmint-17.3-cinnamon-nocodecs-64bit.iso
df38af96e99726bb0a1ef3e5cd47563d  linuxmint-17.3-cinnamon-oem-64bit.iso

Diskussion um Linux Mint

Wer Unity oder Gnome 3 unter Ubuntu nicht leiden kann, der steigt gerne auf Linux Mint um. Mint wirkt dabei sehr aufgeräumt, ist schnell, stabil und auch für unerfahrene Linux-Nutzer durchaus bedienbar. Doch hagelt es seit dem Hack einige Kritik an der Qualität und Sicherheit von Mint.

Zum einen werden Namensräume von Paketen verletzt, sprich Paketnamen werden doppelt vergeben. So gibt es unter Mint den Desktopmanager mdm (mint desktop manager), unter debian (was der Unterbau von Ubuntu ist, was wiederum der Unterbau von Mint ist) gibt jedoch schon ein Paket mit diesem Namen, welches Tools für parallele shell-scripte bereit stellt. Dieses kann unter Mint, aufgrund des Namenskonfliktes, nicht verwendet werden.
Selbiges galt für den Editor xedit, der mittlerweile jedoch in xed umbenannt wurde.

Zum anderen setzt Linux Mint mehr auf Stabilität, als auf Sicherheit, was man u.A. in den Standardeinstellung der Aktualisierungsverwaltung mintUpdate erkennen kann (s. Bild oben). Dort werden Updates, die potentiell die Stabilität des Systems gefährden ausgeblendet. Dies schließt oftmals jedoch Sicherheitsupdates mit ein, teilweise werden also Sicherheitslücken nicht gepatched und bleiben bestehen.

Dies gilt zum Glück nicht für die glibc-Lücke, was mit der Genehmigung von Linux Mint zusammenhängt. Andere Sicherheitsupdates sollte man daher manuell über apt-get update && apt-get upgrade installieren.

glibc Lücke

In den vergangenen Tagen gab es auch Ärger mit einer Lücke in der C-Bibliothek glibc, welche diverse Funktionalitäten auch für TCP/IP bereit stellt. So fand ein Google Mitarbeiter durch Zufall eine Lücke in der Funktion getaddrinfo(), welche DNS Namen auflöst. Unter bestimmten Umständen bekam ein Client (z.B. ping, wge, ssh, …) einen segmentation fault (Speicherzugriffsfehler) bei der Verwendung der glibc Funktion getaddrinfo(). Dies kann schwerwiegende Folgen haben und dazu führen, dass eine Systemübernahme durch Hacker möglich ist.

Mit Version 2.23 wurde der Fehler offiziell behoben und mit ldd --version kann geprüft werden welche Version von glibc installiert ist. Wer dabei kein 2.23 angezeigt bekommt muss sich nicht wundern, denn gepatched wurden bereits viele Versionen von glibc unter diversen Distributionen. Dabei wurde nur diese und ein paar andere Lücken gestopft, sodass die Version der Bibliothek nicht auf 2.23 ist.

Hier eine Liste der sicheren Versionen von glibc (bitte Hinweise unten beachten!):

• CentOS 6: glibc-2.12-1.166.el6_7.7
• CentOS 7: glibc-2.17-106.el7_2.4
• Fedora 22: glibc-2.21-11.fc22
• Fedora 23: glibc-2.22-9.fc23
• Debian 6 (squeeze): eglibc 2.11.3-4+deb6u11
• Debian 7 (wheezy): eglibc 2.13-38+deb7u10
• Debian 8 (jessie): glibc 2.19-18+deb8u3
• Ubuntu 15.10: libc6 2.21-0ubuntu4.1
• Ubuntu 14.04 LTS: libc6 2.19-0ubuntu6.7
• Ubuntu 12.04 LTS: libc6 2.15-0ubuntu10.13

Wer die oben stehende Version nicht installiert hat oder ein anderes Linux am laufen hat, sollte ggf. das proof-of-concept von Google ausprobieren, um herauszufinden ob das System betroffen ist oder in Foren/Mailinglisten nach Informationen suchen. Derivate (z.B. Linux Mint) sind nicht extra aufgelistet, für Linux Mint 17.3 zum Beispiel ist die glibc Version von Ubuntu 14.04 LTS gleichbedeutend.

Updates sollten aber auf jeden Fall eingespielt werden!
Wenn nach dem Update, die Version nicht auf 2.23 ist, so muss man sich nicht wundern, denn das sind lediglich Patches. Es wurde nur diese und wenige andere Lücken gestopft, daher ist die Version der Bibliothek nicht auf 2.23.