Linux-Problem: NTFS3-Lücke kann Root-Rechte ermöglichen

NTFS3-Lücke unter Linux: Wann präparierte Datenträger zum Root-Risiko werden

Eine Schwachstelle im Linux-Treiber NTFS3 kann präparierte NTFS-Datenträger zur lokalen Rechteausweitung missbrauchen. Ein früherer Fix greift gegen den nun veröffentlichten Angriffsweg offenbar nicht.

Eine Schwachstelle im Linux-Kernel-Treiber NTFS3 kann manipulierte NTFS-Datenträger für eine lokale Rechteausweitung nutzbar machen. Der Sicherheitsforscher Vova Tokarev hat einen entsprechenden Angriffsweg öffentlich gemacht, nachdem das Problem nach seinen Angaben bereits rund zwei Monate zuvor gemeldet worden war. Ein genauerer Blick zeigt allerdings: Ein präparierter USB-Stick führt auf einem üblichen Linux-Desktop nicht automatisch zu Root-Rechten.

Im Mittelpunkt steht die Verarbeitung von Linux-Berechtigungen, die NTFS in erweiterten Attributen speichern kann. NTFS3 wertet dabei unter anderem Metadaten für Benutzer-ID, Gruppen-ID und Dateimodus aus. Diese Informationen können direkt aus dem Dateisystem übernommen werden.

Problematisch ist die Übernahme des Dateimodus aus dem NTFS-Dateisystem. NTFS3 kann dabei auch Setuid- und Setgid-Bits übernehmen. Ein entsprechend präparierter Datenträger könnte so eine als Root gehörend markierte Datei mit gesetztem Setuid-Bit bereitstellen. Wird das Laufwerk ohne die Mount-Option „nosuid“ eingebunden und die Datei ausgeführt, wäre eine lokale Rechteausweitung möglich. Im aktuellen Mainline-Code ist diese Verarbeitung weiterhin enthalten.

Wer nun der Vorstellung erlegen ist, dass ein präparierter NTFS-USB-Stick ausreiche, hat nur bedingt recht. UDisks2, das für das Einbinden von Datenträgern auf zahlreichen Linux-Desktop-Systemen genutzt wird, setzt aus Sicherheitsgründen grundsätzlich die Mount-Optionen „nodev“ und „nosuid“. Diese Optionen werden fest hinzugefügt und können über die normale UDisks-Konfiguration nicht entfernt werden. Dabei sorgt „nosuid“ dafür, dass Setuid- und Setgid-Bits aus dem eingebundenen Datenträger gar nicht erst wirksam werden.

Problematisch bleibt die Schwachstelle aber immerhin noch da, wo NTFS-Datenträger auf anderem Wege eingebunden werden. Dazu zählen etwa eigene Einträge in der „/etc/fstab“, manuelle Mounts oder Skripte, sofern dabei „nosuid“ fehlt. UDisks weist ausdrücklich darauf hin, dass Einträge aus der fstab nicht durch die eigenen Mount-Optionen abgesichert werden, sondern deren Einstellungen vollständig übernommen werden.

Welche Optionen bei bereits eingebundenen NTFS-Dateisystemen gelten, lässt sich beispielsweise mit folgendem Befehl prüfen:

findmnt -t ntfs3,ntfs -o TARGET,SOURCE,FSTYPE,OPTIONS

Taucht in der Spalte „OPTIONS“ der Eintrag „nosuid“ auf, kann der hier beschriebene Setuid-Angriffsweg über diesen Mount nicht funktionieren. Fehlt die Option, sollte insbesondere bei fremden oder anderweitig nicht vertrauenswürdigen NTFS-Datenträgern geprüft werden, warum das Dateisystem mit aktivierter Setuid-Unterstützung eingebunden wird.

Ein Sicherheitsfix reicht offenbar nicht aus

NTFS3 wurde erst vor wenigen Wochen wegen eines verwandten Problems korrigiert. CVE-2026-63833 beschreibt eine lokale Rechteausweitung, bei der unprivilegierte Nutzer bestimmte reservierte NTFS-Attribute selbst setzen konnten. Der Kernel blockiert solche Änderungen inzwischen für Nutzer ohne die erforderlichen Berechtigungen.

Der nun veröffentlichte Angriffsweg setzt jedoch an einer anderen Stelle an. Die manipulierten Attribute befinden sich bereits auf dem präparierten Datenträger, bevor dieser mit dem Zielsystem verbunden wird. Der Schutz gegen direkte Änderungen über „setxattr()“ kommt damit offenbar nicht zum Einsatz.

Damit handelt es sich nicht einfach um CVE-2026-63833 in unveränderter Form. Vielmehr zeigt die neue Variante, dass der frühere Fix bereits vorhandene Metadaten auf einem manipulierten Dateisystem nicht vollständig abdeckt.

• Eine Schwachstelle im Linux-Treiber NTFS3 kann präparierte NTFS-Datenträger zur lokalen Rechteausweitung missbrauchen.
• Ein früherer Fix für CVE-2026-63833 greift gegen diesen Angriffsweg offenbar nicht, weil die manipulierten Metadaten bereits auf dem Datenträger liegen.
• Auf vielen Linux-Desktops entschärft „nosuid“ das Problem; riskanter sind manuelle Mounts, fstab-Einträge oder Skripte ohne diese Option.

Mitmachen und kommentieren:

Wie stehen Sie zu diesem Thema? Die PCGH-Redaktion freut sich über Ihre fundierte Meinung in den Kommentaren zu dieser Meldung. Sollten Sie noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 Youtube oder 💬 Whatsapp und erhalten Sie Neuigkeiten zu Grafikkarten, CPUs und Gaming direkt in Ihrem Feed.

Quelle: Phoronix, Linux Kernel, UDisks2, NIST NVD, Patchew, Hardware Busters