Technischer Support
Dokumentation
Anmeldung
Kontakt
BusyBox, oft als das "Schweizer Taschenmesser des Embedded Linux" bezeichnet, ist eine kompakte Suite von Unix-Dienstprogrammen, die in einer einzigen ausführbaren Datei zusammengefasst sind. Aufgrund seines geringen Gewichts wird es häufig in kleinen und eingebetteten Systemen eingesetzt. Wie jede Software ist es jedoch nicht immun gegen Sicherheitslücken. Kürzlich hat Canonical Sicherheitsupdates veröffentlicht, um mehrere Sicherheitslücken in BusyBox zu schließen. Diese Schwachstellen könnten, wenn sie ausgenutzt werden, einem Angreifer die Möglichkeit geben, einen Denial-of-Service oder sogar die Ausführung beliebigen Codes zu verursachen. Dieser Artikel befasst sich mit den Details der in Ubuntu behobenen BusyBox-Schwachstellen und bietet eine Anleitung, wie Sie Ihre Systeme schützen können.
BusyBox Sicherheitslücken Details
CVE-2022-48174 (CVSS v3 Schweregrad: 9.8 Kritisch)
Diese Sicherheitslücke entsteht durch eine nicht ordnungsgemäße Validierung von Benutzereingaben bei der Durchführung bestimmter arithmetischer Operationen in BusyBox. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er einen Benutzer oder ein automatisiertes System dazu bringt, eine speziell gestaltete Datei zu verarbeiten. Ein Angreifer könnte diesen Fehler ausnutzen, um einen Denial-of-Service zu verursachen oder beliebigen Code auf dem betroffenen System auszuführen.
CVE-2023-42363, CVE-2023-42364, CVE-2023-42365 (CVSS v3 Schweregrad: 5.5 Mittel)
Drei Use-after-free-Schwachstellen wurden in der Art und Weise identifiziert, wie BusyBox Speicher verwaltet, wenn bestimmte awk-Ausdrücke ausgewertet werden. Diese Ubuntu-Schwachstellen betreffen speziell Ubuntu 24.04 LTS, was einem Angreifer erlauben könnte, einen Denial-of-Service zu verursachen oder beliebigen Code auszuführen. Allerdings betreffen diese Probleme nur Ubuntu 24.04 LTS.
Sicher bleiben
Um Ihre Systeme vor diesen Sicherheitslücken zu schützen, ist es wichtig, BusyBox auf die neueste gepatchte Version zu aktualisieren. Canonical hat Updates für Ubuntu 24.04 LTS, Ubuntu 22.04 LTS und Ubuntu 20.04 LTS veröffentlicht, um diese Probleme zu beheben.
Benutzer von Ubuntu 16.04 und 18.04 sollten sich bewusst sein, dass CVE-2022-48174 auch diese älteren Versionen betrifft. Da diese Versionen jedoch das Ende ihrer Lebensdauer erreicht haben, erhalten sie keine kostenlosen Sicherheitsupdates mehr von Canonical.
Für Unternehmen, die noch auf veraltete Ubuntu-Versionen setzen, bietet der Extended Lifecycle Support (ELS) von TuxCare eine kostengünstige Lösung, um Sicherheit und Stabilität zu erhalten. Der ELS von TuxCare bietet bis zu fünf zusätzliche Jahre Sicherheits-Patches für Ubuntu 16.04 und Ubuntu 18.04 über das offizielle EOL-Datum hinaus. Dieser Service deckt über 140 Pakete ab, darunter Linux-Kernel, BusyBox, Python, OpenSSL, glibc und OpenJDK.
Das ELS-Team hat bereits Patches für CVE-2022-48174 für mehrere Linux-Distributionen veröffentlicht, darunter CentOS 6, CloudLinux 6, Ubuntu 16.04, Ubuntu 18.04 und Oracle Linux 6. Um über alle Sicherheitslücken und deren Patch-Status informiert zu bleiben, können Sie den CVE-Tracker besuchen.
Abschließende Überlegungen
Indem Sie umgehend die neuesten Patches von Canonical einspielen oder erweiterte Support-Services in Anspruch nehmen, können Sie Ihre Ubuntu-Systeme vor potenziellen Sicherheitslücken schützen und ihre kontinuierliche Zuverlässigkeit gewährleisten.
Lassen Sie nicht zu, dass ein veraltetes Ubuntu Ihre Sicherheit gefährdet. Bleiben Sie mit ELS von TuxCare geschützt und genießen Sie Sicherheits-Patches in Herstellerqualität zu einem erschwinglichen Preis.
Quelle: USN-6961-1
