Looney Tunables: CVE-2023-4911 in glibc

Ein Pufferüberlauf im dynamischen Lader der glibc, der aus einem lokalen Konto root macht.

In der NVD veröffentlicht am 03.10.2023

CVE-2023-4911

CVSS 3.1: 7,8 (hoch) wird aktiv ausgenutzt

Seit dem 21.11.2023 im CISA-Katalog aktiv ausgenutzter Lücken

Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 63,769 %, Perzentil 99,221

Was ist Looney Tunables?

Looney Tunables ist ein Pufferüberlauf in ld.so, dem dynamischen Lader der GNU C Library, beim Verarbeiten der Umgebungsvariable GLIBC_TUNABLES. Ein lokaler Angreifer kann Programme mit SUID-Recht mit einem präparierten GLIBC_TUNABLES-Wert starten und so Code mit erhöhten Rechten ausführen.

Die NVD bewertet sie mit CVSS 7.8, und CISA führt sie seit dem 21. November 2023 als aktiv ausgenutzt. Die NVD führt glibc 2.34 bis 2.38.

Betroffene und behobene Versionen

GNU C Library (glibc)

Betroffen: 2.34 - 2.38

Behoben in 2.39

Stand in Debian und Ubuntu

Debian 12: glibc

Behoben

Behoben ab Paketversion 2.36-9+deb12u3

Debian 13: glibc

Behoben

Behoben ab Paketversion 2.37-12

Ubuntu 22.04 LTS: glibc

Behoben

Behoben ab Paketversion 2.35-0ubuntu3.4

Ubuntu 24.04 LTS: glibc

Behoben

Behoben ab Paketversion 2.38-1ubuntu6

Was tun?

Spiel das glibc-Update deiner Distribution ein, unter Debian 12 die Version 2.36-9+deb12u3 oder neuer, und starte danach die Dienste oder das System neu, damit kein Prozess die alte Bibliothek weiter nutzt.

Erseni Patch meldet dir, wenn eine neue Lücke genau deine Version betrifft und wenn dein Release-Zweig keinen Support mehr bekommt. Trag das Programm oder Paket mit deiner Version ein, dann prüfen wir sie sofort.

glibc (Debian 12) beobachten

glibc (Ubuntu 22.04 LTS) beobachten

Du hast schon ein Konto? Anmelden und glibc (Debian 12) eintragen