Die Verschlüsselungssoftware Cryptsetup weist
offenbar einen schwerwiegenden Fehler auf: Halten Anwender bei der
Eingabe des Passworts einfach nur rund 70 Sekunden lang die Eingabetaste
gedrückt, öffnet sich automatisch eine Shell mit Root-Rechten.
Der Fehler steckt in den Skripten, die eine mit LUKS verschlüsselte
Partition aufschließen. Angreifer erhalten dabei Zugriff auf eine
Root-Shell. Über diese könnten sie Datenträger kopieren, ändern oder
zerstören sowie auf das Netzwerk zugreifen. Eine Entschlüsselung der
Daten ist zwar nicht möglich, dafür gelingt aber der Zugriff auf alle
anderen unverschlüsselten Partitionen.
Angreifbar sind zumindest alle Debian-, Ubuntu- und Fedora-Systeme nebst den darauf basierenden Derivaten, bei denen der Anwender während der Installation die Verschlüsselung aktiviert hat. Laut der Security-Meldung CVE-2016-4484 sind sowohl Systeme mit Initramfs als auch mit Dracut betroffen.
Um das Problem bis zur Auslieferung einer aktualisierten Cryptsetup-Version abzustellen, können Anwender ihr System so konfigurieren, dass es nach der Eingabe von mehreren falschen Passwörtern den Bootprozess unterbricht. Das notwendige Vorgehen beschreiben die Entdecker der Sicherheitslücke in ihrem Advisory.