Am 28. Oktober hat die US-Behörde für Cybersicherheit CISA eine Lücke im Linux-Kern in ihre Liste der nachweislich ausgenutzten Lücken aufgenommen. Sie heisst Fragnesia und ist nicht neu. Ubuntu hat die Korrektur im Mai ausgeliefert. Neu ist, wofür sie jetzt benutzt wird.
Zwei Lücken hintereinander
Fragnesia allein öffnet keinen Server von aussen. Sie braucht jemanden, der auf der Maschine bereits Programme ausführen kann, und macht ihn dann zum Administrator mit allen Rechten.
Die CISA schreibt ausdrücklich dazu, womit die Lücke kombiniert wird: mit den beiden PHP-Lücken, über die wir am 23. Oktober berichtet haben. Zuerst wird über die Website eine Hintertür abgelegt, dann führt man damit Befehle als Administrator aus.
Für einen Webserver heisst das: Aus «eine Website wurde übernommen» wird «der Server wurde übernommen». Mit allen anderen Websites, Datenbanken und Mailkonten, die darauf liegen.
Installiert ist nicht dasselbe wie aktiv
Ein Linux-Server spielt Korrekturen am Kern in der Regel selbst ein. Wirksam werden sie aber erst nach einem Neustart. Bis dahin läuft der alte Kern weiter, mit allen Lücken, die er hatte. Im September haben wir das an unserem eigenen Server beschrieben: Die Korrektur lag auf der Platte, lief aber nicht, weil die Maschine seit fast drei Jahren nicht neu gestartet worden war.
Für Fragnesia heisst das: Wer seit Mai Updates einspielt, aber nie neu gestartet hat, ist offen.
Was wir diesmal gemessen haben
Wir haben am 1. November auf zwei unserer Server nachgesehen.
Auf dem Server, der unsere eigenen Websites ausliefert, läuft der Kern 5.15.0-191. Gestartet wurde er am 22. September, beim Neustart aus dem Beitrag von damals. Fragnesia ist darin behoben. Daneben liegt bereits der neuere Kern 5.15.0-202. Er läuft noch nicht.
Auf einem Server mit Websites von Kunden läuft 5.15.0-187, gestartet am 13. August. Auch hier ist Fragnesia behoben. Seither sind aber vier neuere Kerne eingespielt worden, die auf den Neustart warten.
Gegen die angegriffene Lücke sind beide geschützt. Das Muster ist trotzdem wieder da: Sechs Wochen nach dem Vorsatz, den Abstand klein zu halten, warten auf beiden Maschinen Korrekturen auf einen Neustart. Ein Vorsatz ohne festen Termin hält offenbar ungefähr so lange.
Die nächste Lücke ist schon bekannt
Mitte Oktober wurde eine zweite Lücke im Linux-Kern bekannt, und sie ist ernster. Sie steckt im Netzwerkcode für IPv4, lässt sich über das Netz auslösen und wird mit 9,8 von 10 bewertet. Der Fehler ist elf Jahre alt, gefunden hat ihn laut heise eine KI. Angriffe sind bisher keine bekannt, und den Angriffscode haben die Entdecker nicht veröffentlicht.
Für Ubuntu 22.04 und 24.04 gibt es dafür noch keine Korrektur, sie ist in Arbeit. Im neuesten Kern auf unseren Servern steht sie noch nicht. Wenn sie kommt, wirkt auch sie erst nach einem Neustart. Wer dann einen festen Termin hat, ist in Tagen geschützt statt in Monaten.
Was jetzt zu tun ist
Den laufenden Kern prüfen. Auf einem Linux-Server zeigt der Befehl uname -r die Version, die gerade läuft, nicht die installierte. Bei Ubuntu 22.04 muss sie für Fragnesia mindestens 5.15.0-181 lauten, bei 24.04 mindestens 6.8.0-124.
Nach der Markierung sehen. Liegt auf dem Server die Datei /var/run/reboot-required, wartet eine Korrektur auf den Neustart. Die Datei reboot-required.pkgs daneben nennt die Pakete.
Neustarts planen statt verschieben. Ein fester Termin, etwa einmal im Monat in einer ruhigen Nacht, schlägt den richtigen Moment, der nie kommt.
Beim Hoster nachfragen. Wer seine Website bei einem Anbieter betreibt, kann den Server nicht selbst neu starten. Die Frage lautet dann: Wann wurde unser Server zuletzt neu gestartet, und läuft die Korrektur gegen Fragnesia?
PHP aktuell halten. Die Kette beginnt bei der Website. Wer die PHP-Lücken geschlossen hat, nimmt dem Angreifer den ersten Schritt.