Kernel

Die Schwachstelle steckt in der Funktion load_elf_binary() des Linux-Kernels, die für das Laden ausführbarer Programme im ELF-Format zuständig ist. Betroffen ist die Behandlung positionsunabhängiger Programme (Position-Independent Executables, PIE): Ist die entsprechende Zufallsplatzierung aktiviert und werden Adressen nach dem üblichen Top-down-Verfahren vergeben, legt der Kernel ein PIE-Programm unmittelbar unterhalb der Basisadresse des Speicherbereichs ab. Dabei berücksichtigt er jedoch nicht, dass für das gesamte Programm genügend Platz reserviert werden muss. In der Folge wird zwar der erste Programmabschnitt korrekt platziert, weitere Abschnitte landen aber oberhalb dieser Basisadresse – also in dem Bereich, der eigentlich als Abstand zwischen Programm und Stack freibleiben soll. Diese Überschneidung führt zu einer Beschädigung des Stack-Speichers. Ein lokaler Angreifer kann das ausnutzen, um seine Rechte auf dem System auszuweiten. Gefährdet sind Distributionen mit nicht nachgepflegten Langzeit-Kerneln.