“Komischer Fehler” in X.Org Server entpuppt sich als handfeste Sicherheitslücke

3 Kommentare Autor: Jürgen (jdo)

X.org LogoEin Blogger ist laut eigener Aussage über einen “komischen Fehler” im X.Org Server gestolpert. Dieser Bug lässt sich ausnutzen, um den Bildschirmschoner eines gesperrten Computers auszuhebeln – physikalischer Zugriff vorausgesetzt. Die meisten Leute sperren ihren Bildschirm, wenn sie den Arbeitsplatz verlassen. Unter GNOME ist zum Beispiel gnome-screensaver und unter KDE kscreenlocker dafür verantwortlich.

All diese Programme funktionieren irgendwie gleich. Sie erschaffen ein neues X-Fenster als Vollbild, setzen diese ganz nach vorne im Fenster-Stapel und reissen sämtliche Tastatur- und Maus-Eingaben an sich. Dummerweise spielt X.Org da aber nicht immer mit.

Der Finder schreibt, dass er kein X11-Experte sei, aber trotzdem versucht, die Geschichte zu erkären. Vor einigen Jahren wurde eine spezielle Taste belegt, um Fenster zu “killen”, die sich die Maus oder die Tastatur geschnappt haben. Diese Funktionalität ist per Standard deaktiviert und gut dokumentiert. Außerdem gab es eine API für Programme, um dieses Verhalten zu verbieten.

Option “AllowClosedownGrabs” “boolean”
This option enables the use of the Ctrl+Alt+Keypad-Multiply key sequence to kill clients with an active keyboard or mouse grab as well as killing any application that may have locked the server, normally using the XGrabServer(3x) Xlib function. Default: off.
Note that the options AllowDeactivateGrabs and AllowClosedownGrabs will allow users to remove the grab used by screen saver/locker programs. An API was written to such cases. If you enable this option, make sure your screen saver/locker is updated.

Diese API wurde aber im Jahre 2008 mit der XFree86-Misc-Erweiterung entfernt (Commit hier and hier). Später wurde dann der komplette AllowClosedownGrabs-Code entfernt (Commit) und somit die Dokumentation (man page) dementsprechend angepasst.

Allerdings scheint sich die Funktion im Jahre 2011 wieder eingeschlichen zu haben (Commit hier und die entsprechende Nachricht in der Mailing-Liste). Allerdings ist diese Funktion per Standard aktiviert, nicht klar dokumentiert und sie lässt sich auch nicht ganz trivial konfigurieren.

Laut Aussage des Finders sind alle Distributionen, die X.Org Server 1.11 ausliefern anfällig. Als Beispiele nennt er Arch Linux und Debian Wheezy. Er selbst kann den Fehler unter Debian mit GNOME 3 reproduzieren. Auch unter Arch Linux mit GNOME 3, slock und slimlock ist der Bug vorhanden.

Auch Michael Larabel von Phoronix bestätigt das Problem. bei einer Standard-Debian-Installation (Wheezy) müsse man laut seiner Aussage nur Strg+Alt+<Multiplizierzeichen auf derZiffernblock> drücken und der Bildschirmschoner ist ausgehebelt.

Als “schnellen und dreckigen” Workaround empfiehlt der Finder, die xkb-Konfiguration anzupassen und alles mit XF86Ungrab und XF86ClearGrab zu entfernen. Alternativ könne man vlock benutzen.




 Alle Kommentare als Feed abonnieren

3 Kommentare zu ““Komischer Fehler” in X.Org Server entpuppt sich als handfeste Sicherheitslücke”

  1. Benjamin says:

    Danke für den Artikel. Habs grad mal unter Ubuntu 11.10 mit Gnomeshell als Oberfläche getestet. Hat nicht funktioniert. Also ist die Funktion unter Ubuntu wohl deaktiviert.

    • querdenker says:

      Das liegt daran, dass in Ubuntu 11.10 die Version 1.10 installiert ist und NICHT die oben aufgeführte V. 1.11!

  2. piotr says:

    Marvellous, das ist eine schöne Geschichte für Cocktailparties 🙂

    Naja, mit dem neuen Update von xkeyboard-config ist das Problem auch in Arch wieder weg... wahrscheinlich aber nur mit dem dreckigen workaround.