Debian-palvelin palautettu murro jäljiltä

13. heinäkuuta 2006

Eräs Debianin pääpalvelimista on uudelleenasennettu tietomurron jäljiltä, ja palvelut toimivat jälleen. Heinäkuun 12. palvelin gluck.debian.org murrettiin käyttämällä paikallista pääkäyttäjä-haavoittuvuutta Linux-ytimessä. Tunkeutuja pääsi palvelimelle käyttämällä erään kehittäjän murrettua tunnusta.

Kärsineet ja väliaikaisesti alhaalla olleet palvelut: cvs, ddtp, lintian, people, popcon, planet, siirrokset sekä release.

Yksityiskohdat

Vähintään yhden kehittäjän tunnus oli murrettu jokin aika sitten ja hyökkääjä käytti tätä tunnusta päästäkseen Debianin pavelimelle. Hiljattain löydettyä paikallista pääkäyttäjä-haavoittuvuutta Linux-ytimessä käytettiin saamaan pääkäyttäjän oikeudet palvelimeen.

Heinäkuun 12. kello 02.43 UTC-aikaa luettiin epäilyttäviä sähköposteja, jotka hälyttivät Debianin ylläpidon. Seurannut tutkimus osoitti, että erään kehittäjän tunnus oli murrettu ja paikallista ydinhaavoittuvuutta oli hyväksikäytetty saamaan pääkäyttäjän oikeudet.

Heinäkuun 12. kello 04.30 UTC-aikaa gluck otettiin pois linjoilta ja uudelleenkäynnistettiin luotetulta medialta. Muut Debianin palvelimet lukittiin myöhempää tutkimusta varten, jotta selvitetään onko nekin murrettu. Ne tullaan päivittämään korjattuun ytimeen ennen avaamista.

Johtuen lyhyestä aikavälistä ytimen hyväksikäytön ja Debian-ylläpitäjien havainnon välillä, hyökkääjällä ei ollut aikaa/haluja aiheuttaa paljoa vahinkoa. Ainoa selvästi väärennetty binääri oli /bin/ping.

Murretulla tunnuksella ei ollut pääsyä millekään rajoitetuille Debianin koneille. Siten sekä normaalilla että tietoturva-arkistolla ei ollut vaaraa tulla murretuksi.

Kehittäjien salasanojen tutkimus paljasti useita huonoja salasanoja, ja sellaiset tunnukset lukittiin tästä syystä.

Koneiden tila on täällä.

Ytimen haavoittuvuus

Tähän murtoon käytetty ytimen haavoittuvuus on CVE-2006-2451. Se esiintyy vai Linux-ytimissä 2.6.13 versioihin ennen 2.6.17.4 sekä 2.6.16 ennen 2.6.16.24. Vika mahdollistaa paikallisen käyttäjän pääsyn pääkäyttäjän oikeuksiin käyttämällä prctl-funktion PR_SET_DUMPABLE-argumenttia yhdessä ohjelman kanssa, joka tekee muistivedostiedoston luonnin hakemistoon, johon käyttäjällä ei ole oikeuksia.

Nykyinen vakaa julkaisu, Debian GNU/Linux 3.1 alias "sarge", sisältää Linux-version 2.6.8 eikä se siten ole alttiina tälle ongelmalle. Murretussa palvelimessa oli käytössä Linux-versio 2.6.16.18.

Mikäli käytät Linux-versiota 2.6.13 versioon 2.6.17.4 asti tai Linux-versiota 2.6.16 versioon ennen 2.6.16.24, kannattaa ydin päivittää välittömästi.

Tietoja Debianista

Debian GNU/Linux on vapaa käyttöjärjestelmä, jota kehittää yli tuhat vapaaehtoista ympäri maailman. He tekevät yhteistyötä Internetin kautta. Debianin sitoutuminen Vapaisiin ohjelmistoihin, voittoa tavoittelematon luonne ja avoin kehitysmalli tekevät siitä ainutlaatuisen GNU/Linux-jakelun.

Debian-projektin avainvahvuudet ovat sen vapaaehtoispohja, omistautuminen Debianin yhteisösopimukseen ja sitoutuminen tarjoamaan parhaan mahdollisen käyttöjärjestelmän.

Yhteystiedot

Tarkempia tietoja löydät Debianin www-sivustolta osoitteesta http://www.debian.org/ tai lähettämällä sähköpostia (englanniksi) osoitteeseen <press@debian.org>.