web analytics

Linux te kraken met de backspace-toets?

Print Friendly, PDF & Email

Al wie de laatste tijd het IT-nieuws gevolgd heeft, zal met verstomming enkele artikels gezien hebben met titels zoals “How to hack any Linux machine just using backspace”. Het enige wat de persmeute doet is een belangrijk lek aantonen, maar wat is er daar nu van waar?

De bron van deze rapporten is een wat opgehypte bekendmaking (http://hmarco.org/bugs/CVE-2015-8370-Grub2-authentication-bypass.html) van een lek in de GRUB2 bootloader, door Hector Marco en Ismael Ripoll.
Het blijkt dat het voldoende lang de backspace-toets aanslaan wanneer de gebruikersnaam prompt op het GRUB2 menu staat, voldoende is om een integer underflow te genereren die maakt dat de GRUB2 authentificatie faze overgeslaan wordt. In lekentaal wil dat zeggen dat er ergens in het programma GRUB2 een fout is die niet wordt opgevangen waardoor de hele inlogprocedure van GRUB2 overgeslagen wordt.

Volgens de auteurs kan dat lek uitgebuit worden voor denial-of-service of code-aanvallen op Linux systemen.

Het is inderdaad een serieus lek dat aangepakt moet worden, maar de taal van de rapporten in de pers doen uitschijnen dat eender welk Linux systeem gekraakt kan worden door genoeg keren op de Backspace toets te drukken en daar neemt men toch een loopje met de waarheid.

Het is interessant om eens door te nemen aan welke voorwaarden je systeem moet voldoen om dat lek te kunnen misbruiken. De voorwaarden zijn:

  • De aanvaller moet fysieke toegang tot je systeem en meer bepaald tot je klavier hebben. Algemeen is het zo dat wanneer een aanvaller fysieke toegang heeft tot je systeem je sowieso aan het korste eind trekt. Dat is natuurlijk geen excuus voor het uitbuiten van het bootloader lek, maar het relativeert al direct het gevaar van het lek.
  • De aanvaller moet de bootloaders authenticatie prompt zien te bereiken, wat inhoudt dat ie het systeem moet kunnen herstarten, zodat de bootloader gestart wordt. Als je systeem zo ingesteld staat dat niet-toegestane gebruikers het systeem kunnen herstarten, dan zet je zelf een deur open. Nog makkelijker wordt het als de aanvaller aan het stopcontact kan want dan speelt dat laatste zel helemaal geen rol meer.
  • Het systeem moet GRUB2 draaien. Als het een X86 platform (al de PC’s en laptops bv.) is, dan is die kans heel groot. Veel van de ‘embedded’ systemen echter draaien niet op een X86 platform, en bijgevolg ook GRUB2 niet.
  • De GRUB2 bootloader moet zo ingesteld zijn dat er een wachtwoord gevraagd wordt. Ik denk niet dat veel thuis-PC’s een password beveiligheid hebben ingesteld op hun GRUB2, dus moet je ook hier het lek niet uitbuiten om toegang te verkrijgen.
  • De gebruikte versie van GRUB2 moet het lek bevatten. Daar het lek sinds GRUB2 versie 1.98 van najaar 2009 bestaat tot en met versie 2.02 (December 2015) is dat een quasi zekerheid.

Je kan gerust stellen dat gezien de bovenstaande voorwaarden het heel onwaarschijnlijk is dat enig Linux systeem slachtoffer van het lek was. Enkel een heel klein percentage van systemen zijn zo ingesteld dat ze aan die voorwaarden voldoen. Voor die systemen is het lek natuurlijk gevaarlijk, maar voor de meesten onder ons is er geen enkele reden om te panikeren.

De massa denkt nu te weten dat ieder Linux systeem kan gekraakt worden door een bepaalde toets enkele keren aan te slaan wat larie en apekool is natuurlijk.
Dat is altijd het probleem met de onderzoekers en perslui. Alles is goed om maar wat in de kijker te lopen. Zo hebben ze er zelf een leuk plaatje bij gemaakt dat de bijpassende naam ‘Back to 28’ draagt. Zucht….

grub_hacked

Normaal zal je in de komende dagen wel een upgrade van je GRUB2 zien voorbijkomen in je updates en alles zal dan wel OK zijn, al zal er voor mij en de duizenden andere Linux gebruikers niks veranderen natuurlijk.

199 totaal aantal vertoningen, 4 aantal vertoningen vandaag

Beoordeling

4 Reacties

  1. Duchesnes,J-M

    Dank voor het antwoord Alain.

    Reageren
  2. markov035

    Grub zorgt niet voor login, toch? Dat is slechts de selctei van het OS, als er meer zijn dan één…

    Reageren
    1. markov035

      Ik zie nu wel wat er gebeurt maar als je aan een comp staat, ben je dan niet sowieso in een wip aaan de bestanden? Dat is nog zekerder zo voor een win? Met een bootable usb stick bvb ?

      Reageren
      1. eijie (Auteur bericht)

        Dat is het net. Bijne alle lokale hacks zijn ongevaarlijk, daar je toegang hebt tot de hardware. Ofwel neem je de hele zooi mee, ofwel peuter je er de HD uit… Remote hacking via VPN, SSH of LAN/WAN zijn veel gevaarlijker en deze zijn gelukkig bijna niet bestaande.

        Reageren

Geef een reactie

%d bloggers liken dit: