Versteckte Sicherheitslücke in Linux-Laptops (Ubuntu und Fedora) ermöglicht vollständige Systemkompromittierung

Cybersicherheitsforscher haben eine kritische Schwachstelle detailliert beschrieben, durch welche die Sicherheit vieler verschlüsselter Linux-Laptops untergraben wird und „Evil Maid“-Angriffe ermöglicht werden. Der Bericht von Ernw zeigt, dass selbst Systeme, die mit bekannten Schutzmechanismen wie Secure Boot und einem passwortgeschützten Bootloader ausgestattet sind, durch ein erhebliches Sicherheitsversäumnis vollständig kompromittiert werden können.

Der Angriffsvektor liegt im Initial RAM Filesystem (initramfs), einem temporären System, das während des Startvorgangs ausgeführt wird, um das Hauptbetriebssystem vorzubereiten. Durch die absichtliche mehrmalige Eingabe des falschen Festplatten-Entschlüsselungspassworts kann ein Hacker das System dazu bringen, in eine leistungsstarke, niedrigstufige Debug-Shell zu wechseln.

Über diese Shell kann die Sicherheitslücke im Kern ausgenutzt werden. Da das initramfs selbst nicht kryptografisch signiert ist, sondern nur der Kernel und seine Module, kann ein Angreifer es entpacken, bösartige Skripte einschleusen und es wieder zusammenpacken, ohne dass Sicherheitswarnungen ausgelöst werden.

Wenn der Besitzer den Laptop das nächste Mal startet und sein Passwort erfolgreich eingibt, läuft die versteckte Malware mit den höchsten Berechtigungen. Sie ist dann in der Lage, den Schlüssel zu stehlen, Tastenanschläge zu protokollieren oder Daten zu exfiltrieren. Die Forscher merken an, dass dies weniger ein Fehler als vielmehr ein Design-Versehen ist, das auf die Systemwiederherstellbarkeit und nicht auf die physische Sicherheit abzielt. Entscheidend ist, dass dieser Angriffsvektor oft von standardmäßigen Leitfäden zur Absicherung (Hardening Guides) und Sicherheits-Benchmarks übersehen wird.

Glücklicherweise ist die Abhilfemaßnahme unkompliziert. Besorgte Nutzer und Systemadministratoren können die Kernel-Parameter ihres Systems anpassen. Dadurch wird sichergestellt, dass der Computer nach fehlgeschlagenen Passworteingaben anhält oder neu startet, statt eine Debug-Shell zu öffnen. Der Bericht dient als deutliche Mahnung, dass selbst robuste Sicherheitsketten durch ein einziges schwaches Glied zerbrechen können.