News Linux-Sicherheit: OpenAI entdeckt auto­nom 948 Root-Schwach­stellen im Ker­nel

[OpticalFiber]

"entdeckt" und "erfolgreich ausgenutzt" sind in meinem Sprachgebrauch aber verschiedene Welten.

Deswegen wurde Heute auch der Linux Kernel Aktuliesiert.
https://www.kernel.org/

Ergänzung (Freitag um 21:24)

Hast du schon Races in hochgradig granularen Code gesucht?

Ist der OpenBSD-Kernel so granular wie der Linux-Kernel?
Hat OpenBSD so viele Treiber wie Linux?
Und OpenSSH was ja aus dem OpenBSD-Projekt stammt liefert auch kontinuierlich neue CVEs.

Nein, OpenBSD, FreeBSD, NetBSD und GhostBSD haben nicht so viele Treiber. Außerdem haben die nicht so viele Programme. Apple MacOS basiert auf Darwin. Und Darwin basiert auf FreeBSD. Die BSD Lizenz. Das BSD Betriebssystem wird zb.: CDN verwendet Netflix Server zum Daten Paket zu verschicken.
Die Playstation OS basiert auf FreeBSD. Auch die Nitendoo OS basiert auf FreeBSD nur Modifiziert.
Wieso wird BSD verwendet. Der Vorteil du kannst das OS nehmen und es Extrem Anpassen, und deine Anpassen brauchst du nicht veröffentlichen, den Code. Deswegen machen das Sony und Nitendoo und Apple. Nur Extrem Angepasst.
Aber bei Linux musst die deine Anpassung veröffentlichen. Das ist die GNU Lizenz.
Deswegen hat FreeBSD oder BSD sehr wenig Programme. außerdem ist es etwas umständlich.

 

[RMS_der_Zweite]

Zumindest ist das jetzt weniger dramatisch als das letzte Problem mit TCP.

Von der Möglichkeit lokaler Rechte-Eskalation ist auch unter Linux immer auszugehen, das sehe ich gelassen.

 

[pseudopseudonym]

aber ich nehme viele Exploitwarnungen gar nicht mehr ernst. Welche Voraussetzungen teilweise für Exploit XY erfüllt werden müssen gleicht manchmal einem Fingerabdruck an Einzigartigkeit

Php2Shell sollte ein warnendes Beispiel sein. Das war auch sehr theoretisch - für Menschen.

 

[areiland]

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat?

Weil der Quellcode des Linux Kernels frei zugänglich ist und der des Windows Kernels eben nicht.

Ich sehe das aber jetzt völlig gelassen, da jemand der diese Lücken ausnutzen möchte, physischen Zugang zu meinem Rechner haben muss. Denn diese 948 Lücken erlauben nur lokalen Benutzern die Erlangung von Rootrechten. Und an meinen PC kommt niemand, dem ich nicht zu hundert Prozent vertrauen kann.

Ergänzung (Samstag um 00:04)

Möchte nicht wissen wie viele Lücken davon in den Datenbanken der Geheimdienste stehen und aktiv ausgenutzt wurden.

Du hast aber schon begriffen, dass diese Lücken nur ausnutzbar sind, wenn derjenige schon Zugang zum betreffenden Rechner besitzt? Die Geheimdienste müssten also bei Dir einbrechen und dann Dein Passwort erraten, damit sie sich Zugang zum Benutzerprofil verschaffen können, von dem aus sie sich dann Rootrechte verschaffen.

 

[Sanctuslight]

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat?

Ich würde tatsächlich vermuten das Microsoft das aus Pr Gründen nicht möchte. Da wird es bestimmt auch gemacht allerdings ohne das die Öffentlichkeit das mitbekommen kann. Microsoft schließt ja auch deutlich mehr Lücken als früher.

 

[isengard]

linux ist schund. war es schon immer. wird es immer bleiben.

 

[Portage&Chill]

aber vl Kann es eine AI in Jahren / Jahrzehnten schaffen.

Aber niemals zu 100%, das glaube ich persönlich nicht.

 

[areiland]

linux ist schund. war es schon immer. wird es immer bleiben.

Vielleicht für Dich, faktisch ist es aber ein sehr gutes Betriebssystem das zudem sehr ressourcenschonend ist.

 

[Bullz]

Aber niemals zu 100%, das glaube ich persönlich nicht.

Ich sehs wie damals eine Drehbank und dann mit dem Aufkommen der CNC Maschine. Wieviel genauer ist die gegenüber einem Menschen ?

Wenn ich raten dürfte, wird das auch irgendwann bei Software eintreten. Wir Menschen sind zu beschränkt von unserer Hardware her. Unsere Hände können nicht sub mikrometer arbeiten und unsere Gehirne können in Millionen Zeilen code kaum alle Schwachstellen finden.

 

[xcsvxangelx]

. C ist anfällig.
Würde man den ganzen Code in Rust schreiben würde es nicht so anfällig sein. Weill Rust viel sicherer ist.

Kannst du das näher erläutern warum Rust soviel sicherer ist? Mich interessiert das wirklich.

 

[Rulf]

wenn man bedenkt, daß auch die bösen buben ki benutzen, kann einem angst und bange werden...
ms hatte ja im letzten monat 1400 schwachstellen gepatcht...und diesen monat werden es wohl nicht weniger...
daran sieht man auch schön, daß trotz open source der moderne code dermaßen komplex geworden ist, daß ihn selbst die besten programmierer einfach nicht mehr vollkommen verstehen können...
und closed source tut diesen fakt wohl noch bedeutender verschlimmern als von den herstellern immer behauptet...

Ergänzung (Samstag um 10:54)

Unsere Hände können nicht sub mikrometer arbeiten und unsere Gehirne können in Millionen Zeilen code kaum alle Schwachstellen finden.

zumal ja nicht ständig alles neu programmiert werden kann, sondern immer auf alte sw mit ihren alten schwächen aufgebaut wird, an die ursprünglich noch niemand denken konnte...
ein radikaler neuanfang wäre selbst ms viel zu teuer und würde sehr viel an kompatibilität kosten...
vielleicht könnte ki ja jetzt auch bei diesem problem ein bisschen helfen

 

[OpticalFiber]

Kannst du das näher erläutern warum Rust soviel sicherer ist? Mich interessiert das wirklich.

Bitte frage eine K.I. oder erkundige dich im Internet, es ist etwas anstrengend das alles hier zu schreiben.

Ergänzung (Samstag um 12:21)

Microsoft's Azure Linux 3.0.2022 Ships With More Than 470 Security Fixes​

Selbst Microsft verwendet auf ihren Servern Linux nur halt angepasst. So wie 1000 andere Distros.

 

[xpad.c]

Die Sache ist, dass es auch false positive Meldungen gibt. Würde mich nicht wundern, wenn der Großteil der 948 Treffer dann doch nicht so relevant ist.

Die paar jetzt zu finden und zu beheben, die eine echte Gefahr darstellen ist natürlich ein Haufen Arbeit.

Vielleicht wäre es eine Überlegung wert, Artikel, die man kommentiert, vorher zu lesen.

Für lokale Rechteausweitungen entstanden hingegen aus 1.238 Kandidaten zunächst 1.169 erfolgreiche Exploits. Erst die anschließende Untersuchung möglicher Varianten und die Entwicklung von 948 unterschiedlichen Patches erlaubten eine Eingrenzung auf ebenso viele eigenständige Schwachstellen. Jede davon ermöglichte es Angreifern, ausgehend von eingeschränkten lokalen Benutzerrechten Root-Zugriff zu erlangen.

Diese 948 wurden also nicht nur als tatsächlich ausnutzbar erkannt, sondern die entsprechenden Patches liegen ebenfalls bereits vor.

xpad.c

 

[dau_nobbi]

linux ist schund. war es schon immer. wird es immer bleiben.

Ich bin von der Ausführlichkeit deiner Erläuterungen und der Tiefe deiner Gedanken tief beeindruckt.
Trotzdem weiss ich Dummerjan immer noch nicht, warum ich kein Linux-System benutzen soll, tut mir leid.

 

[AndreasF1975]

@dau_nobbi Du musst halt wissen: „Microsoft-Produkte sind generell ohne Softwarefehler.“— Bill Gates

Soll ja Menschen geben welche sich mit weniger halt nicht zufrieden geben. Ich lebe gerne mit Schund und leide aufgrund der ganzen Einschränkungen tagtäglich. Wenn ich nur daran denke wie Linux mich gängelt und ständig mit irgendwelchen tollen UpDates nervt. Ebenso, dass ich völlig eingeschränkt mit meinen Linux Systemen bin. Da musste ja alles so nehmen wie es ist. Wenn mich Linux mal zufrieden stellt griefe ich zu dem Rechner mit BSD. Das ist Schund²!