OpenVMS: Seit 30 Jahren mit Sicherheitslücke

Im Betriebssystem OpenVMS wurde gerade eine Local Privilege Escalation Sicherheitslücke gefunden, die seit 30 Jahren in diesem Produkt steckt.

Die Vergangenheit holt einen irgendwann immer ein. Möglicherweise erinnert sich noch der eine oder andere Blog-Leser oder die eine oder andere Blog-Leserin an die legendäre Digital Equipment VAX-Computerreihe mit dem Betriebssysteme VMS. Heute gibt es Digital Equipment ja nicht mehr. Aber VMS lebt als OpenVMS  für VAX, Alpha- und Itanium-Rechner weiter. Und es dürften noch einige Anwendungen im Einsatz sein.

Die Local Privilege Escalation-Sicherheitslücke steckt in der DCL-Shell von VMS. Normale Benutzer können mit entsprechenden Anweisungen in den privilegierten Supervisor-Modus wechseln und Code auszuführen. Auf Itanium-CPUs kann der Bug ausgenutzt werden, um einen Prozess zum Absturz zu bringen. Einzelheiten zu dem Fehler, der die Bezeichnung CVE-2017-17482 erhalten hat, sollen im März veröffentlicht werden. Dies soll den Systemadministratoren Zeit geben, Patches zu testen und auszurollen. Falls jemand noch mit OpenVMS zu tun hat und weitere Informationen braucht, findet weitere Details in diesem The Register-Artikel.