Linux Teamviewer mit veralteter Wine 1.6 Version

Die Linuxversion von Teamviewer ist ja bekanntlich nur eine Windowsversion, die mit Wine betrieben wird. Zeigt ja mal wieder, wie gut Wine eigentlich ist. Um so mehr ist es traurig, daß beim neuesten Teamviewer 12 das bereits in die Jahre gekommene Wine 1.6 zum Einsatz kommt.

Es stellt sich die Frage, ob Wine 1.6 nicht neben der offensichtlichen Sicherheitslücke namens Windows, selbst noch Schwachstellen mitbringt, die eigentlich gefixt werden müssen. Auf die Schnelle konnte ich bei Full-Disclosure nichts finden, aber das heißt ja nichts.

Vielleicht hat ja der eine oder andere Leser noch eine Winelücke in Petto, die man auf Linux-Teamvieweruser loslassen könnte, um die Teamviewer GmbH zu einem Update zu bewegen. Es macht ja schliesslich keinen Sinn eine eigene Wineumgebung dabei zu haben, wenn auf dem Rechner sowieso ein aktuelles Wine installiert ist. Wenn Ihr was findet, laßt es mich wissen.

EuGH: anlasslose Überwachung unzuläßig

In einem Grundsatzurteil zur Massenüberwachung in der EU hat der EuGh heute eine Entscheidung gegen anlasslose Überwachungsmaßnahmen bekannt gegeben.

Die Zusammenfassung liest sich so :

Das Unionsrecht untersagt eine allgemeine und unterschiedslose Vorratsspeicherung von
Verkehrs- und Standortdaten. Es steht den Mitgliedstaaten aber frei, vorbeugend eine gezielte
Vorratsspeicherung dieser Daten zum alleinigen Zweck der Bekämpfung schwerer Straftaten
vorzusehen, sofern eine solche Speicherung hinsichtlich der Kategorien von zu speichernden
Daten, der erfassten Kommunikationsmittel, der betroffenen Personen und der vorgesehenen
Dauer der Speicherung auf das absolut Notwendige beschränkt ist.

Quelle: http://curia.europa.eu/jcms/upload/docs/application/pdf/2016-12/cp160145de.pdf

Demnach darf nur zur Überwacht werden, wenn die öffentliche Sicherheit gefährdet ist, was schwere Straftaten einschliesst. Jetzt würden wir natürlich denken, das dies erst NACH einem Ansschlag/einer Straftat der Fall wäre, aber natürlich wird Seitens der Überwacher argumentiert , daß die Sicherheit ständig in Gefahr ist und man deswegen jederzeit überwachen können muß/darf.

Der EuGH meint weiter, eine VDS läßt ‚sehr genaue Schlüsse auf das Privatleben‚ der Bürger zu,  weswegen man nur das notwendigste überhaupt speichern dürfte. Metadaten, wie sie bei unserer VDS gespeichert werden sollen und die dazugehörigen Standortdaten von Mobilfunkgeräten, sind jetzt dummerweise aber perfekt geeignet für Rückschlüsse auf das Privatleben der Bürger.

Der Gerichtshof weist darauf hin, dass eine Regelung, die eine allgemeine und
unterschiedslose Vorratsdatenspeicherung vorsieht, keinen Zusammenhang zwischen den
Daten, deren Vorratsspeicherung vorgesehen ist, und einer Bedrohung der öffentlichen
Sicherheit verlangt und sich insbesondere nicht auf die Daten eines Zeitraums und/oder eines
geografischen Gebiets und/oder eines Personenkreises, der in irgendeiner Weise in eine schwere
Straftat verwickelt sein könnte, beschränkt. Eine solche nationale Regelung überschreitet
somit die Grenzen des absolut Notwendigen und kann nicht als in einer demokratischen
Gesellschaft gerechtfertigt angesehen werden, wie es die Richtlinie im Licht der
Grundrechtecharta verlangt.

Da jede Art von Speicherung Rückschlüsse auf die Personen und deren Gewohnheiten zu läßt, wird es für die VDS der Bundesregierung jetzt noch viel enger werden.

Mein Kommentar: Vergesst es einfach!

Aber soviel Glück werden wir nicht haben 🙁  Zudem wird die örtliche Nähe zu einer Straftat im Internet ja komplett aufgehoben, weswegen hier wohl eher die Speicherung von Mobilfunkdaten gemeint gewesen ist, denn nur die können ortsbezogen sein. Es wird also wieder spannend, wie sich die Überwachungsfreunde diesmal argumentativ aus der Affäre winden werden. Ich rechne ja damit, daß irgendwann, in nicht allzu ferner Zukunft, jemand einfach sagen wird:

„Die Eliten der Bundesrepublik wollen wissen, was ihre Untertanen sagen, schreiben, lesen und tun. Punkt. aus. Ende der Diskussion. Wir ziehen das jetzt durch.“ Vorher gibt es dann noch den Dexit und die Privatunion mit England, Kanada und den USA.

Alternativer Artikel: http://www.spiegel.de/netzwelt/netzpolitik/vorratsdatenspeicherung-eugh-erteilt-ueberwachungs-gesetz-eine-absage-a-1126926.html

Root-Exploit im TCP/IP Stack – CVE-2016-8655

Im Linux Kernel klafft die nächste Root-Lücke, diesmal im Netzwerkbereich, dem TCP/IP Stack.

Die Lücke können nur lokale Prozesse ausnutzen, i.d.R. braucht es daher eine weitere Sicherheitslücke z.b. im Browser oder einen angemeldeten Benutzer.  Das Ganze betrifft somit „eigentlich“ nur Server.

Updates gibt es derzeit für Fedora noch keine. Der neuste Kernel 4.8.12-200 vom 2.12. behebt das Problem  noch nicht, trotzdem sollte man den schon einspielen, denn wie man sieht, behebt er andere Securityprobleme:

* Fr Dez 02 2016 Justin M. Forbes <jforbes@fedoraproject.org> – 4.8.12-200
– Linux v4.8.12
– CVE-2016-9755 Fix Out-of-bounds write issue when defragmenting ipv6 packets (rhbz 1400904 1400905)
– CVE-2016-9756 Fix kvm: stack memory information leakage (rhbz 1400468 1400469)
– Fix kvm: out of bounds memory access via vcpu_id (rhbz 1400804 1400805)

Ubuntu stellt als erster gepatchte Kernel bereit, muß man auch mal lobend erwähnen.

Den Exploit für Ubuntu gibt es hier:

Linux Kernel 4.4.0 AF_PACKET Race Condition / Privilege Escalation

Wie man im Source lesen kann, hat sich der Autor auch schon an Fedora 25 probiert, es aber wieder auskommentiert.

Die nächste Sicherheitslücke klafft übrigens im Android Kernel, da können alle bekannten Android Versionen ab 4.4.4 von außen komplett übernommen werden. Erste Patche sind zwar schon bei den Herstellern verfügbar, aber wann die #1 Samsung, das Update bereitstellt, steht in den Sternen 🙁

Hier mal die Liste der von Google genannten Schwachstellenreports, die damit zusammen hängen, einige sind schon zwei Jahre alt :

CVE-2016-9120: Schwachstelle in Kernel ION Subsystem ermöglicht komplette
CVE-2016-8411: Schwachstellen in Qualcomm Komponenten ermöglichen komplette
CVE-2016-8410: Schwachstelle in Qualcomm Audiotreiber ermöglicht Ausspähen
CVE-2016-8408 CVE-2016-8409: Schwachstellen in NVIDIA Grafiktreiber
CVE-2016-8401 CVE-2016-8402 CVE-2016-8403 CVE-2016-8404 CVE-2016-8405
CVE-2016-8406 CVE-2016-8407: Schwachstellen in Kernelkomponenten ermöglichen
CVE-2016-8400: Schwachstelle in NVIDIA Grafikbibliothek ermöglicht Ausspähen
CVE-2016-8399: Schwachstelle im Netzwerk-Subsystem ermöglicht komplette
CVE-2016-8397: Schwachstelle in NVIDIA Grafiktreiber ermöglicht Ausspähen
CVE-2016-8396: Schwachstelle in MediaTek Grafiktreiber ermöglicht Ausspähen
CVE-2016-8395: Schwachstelle in NVIDIA Kameratreiber ermöglicht
CVE-2016-8393 CVE-2016-8394: Schwachstellen im Synaptics Touchscreen-Treiber
CVE-2016-6915 CVE-2016-6916 CVE-2016-6917: Schwachstellen im NVIDIA
CVE-2016-6791 CVE-2016-8391 CVE-2016-8392: Schwachstellen im Qualcomm
CVE-2016-6789 CVE-2016-6790: Schwachstellen in NVIDIA Grafikbibliothek
CVE-2016-6788: Schwachstelle im MediaTek I2C-Treiber ermöglicht komplette
CVE-2016-6786 CVE-2016-6787: Schwachstellen im Performance-Subsystem
CVE-2016-6778 CVE-2016-6779 CVE-2016-6780: Schwachstellen im HTC
CVE-2016-6775 CVE-2016-6776 CVE-2016-6777: Schwachstellen in NVIDIA
CVE-2016-6774: Schwachstelle in Package Manager ermöglicht Ausspähen von
CVE-2016-6773: Schwachstelle in Mediaserver ermöglicht Ausspähen von
CVE-2016-6772: Schwachstelle in Wi-Fi ermöglicht Ausführen beliebigen
CVE-2016-6771: Schwachstelle in Telephony ermöglicht Privilegieneskalation
CVE-2016-6770: Schwachstelle in Framework API ermöglicht
CVE-2016-6769: Schwachstelle in Smart Lock ermöglicht Privilegieneskalation
CVE-2016-6768: Schwachstelle in Bibliothek Framesequence ermöglicht
CVE-2016-6767: Schwachstelle in Mediaserver ermöglicht
CVE-2016-6765: Schwachstelle in Mediaserver ermöglicht
CVE-2016-6764 CVE-2016-6766: Schwachstellen in Mediaserver ermöglichen
CVE-2016-6763: Schwachstelle in Telephony ermöglicht
CVE-2016-6762: Schwachstelle in libziparchive ermöglicht Ausführung
CVE-2016-6758 CVE-2016-6759 CVE-2016-6760 CVE-2016-6761: Schwachstellen in
CVE-2016-6756 CVE-2016-6757: Schwachstellen in Qualcomm Komponeten
CVE-2016-6755: Schwachstelle in Qualcomm Kamera-Treiber ermöglicht
CVE-2016-6492 CVE-2016-6781 CVE-2016-6782 CVE-2016-6783 CVE-2016-6784
CVE-2016-6785: Schwachstellen in MediaTek-Treiber ermöglichen Ausführung
CVE-2016-5341: Schwachstelle in Qualcomm GPS-Komponente ermöglicht
CVE-2015-8967: Schwachstelle in Kernel ermöglicht Ausführung beliebigen
CVE-2015-8966: Schwachstelle in Kernel ermöglicht Ausführung beliebigen
CVE-2014-9909 CVE-2014-9910: Schwachstellen in Broadcom Wi-Fi-Treiber
CVE-2016-5195: Schwachstelle in Linux-Kernel ermöglicht Erlangen von
CVE-2016-5421: Schwachstelle in cURL ermöglicht Ausführung beliebigen
CVE-2016-5420: Schwachstelle in cURL ermöglicht Umgehen von
CVE-2016-5419: Schwachstelle in cURL ermöglicht Umgehen von
CVE-2016-4794: Schwachstelle in Linux-Kernel ermöglicht
CVE-2015-7872: Schwachstelle in Linux-Kernel erlaubt
CVE-2014-4014: Schwachstelle im Linux-Kernel ermöglicht