- Offizieller Beitrag
Das SvxLink-Projekt hat vor wenigen Stunden die Version 26.05.1 veröffentlicht. Sie schließt vierzehn Sicherheitslücken, von denen zwei als kritisch eingestuft sind – die schwerste mit 9,8 von 10 möglichen Punkten. Betroffen sind alle Versionen bis einschließlich 26.05, und zwar rückwirkend über mehr als ein Jahrzehnt. Seit heute sind die technischen Einzelheiten über die Sicherheits-Mailingliste oss-security öffentlich bekannt; damit steht jedem, der es darauf anlegt, eine genaue Anleitung zur Verfügung.
Zur Einordnung der Zahl 9,8: Sicherheitslücken werden weltweit nach einem einheitlichen Schema bewertet, dem Common Vulnerability Scoring System (CVSS). Es vergibt Punkte von 0 bis 10. Ab 9,0 gilt eine Lücke als kritisch – das ist die höchste von vier Stufen, und dort landen nur wenige Prozent aller je gemeldeten Schwachstellen. Der Wert 9,8 bedeutet konkret: Der Angriff kommt über das Netz, er braucht kein Passwort, der Sysop muss nichts anklicken oder bestätigen, und der Aufwand ist gering. Was ein Angreifer im Erfolgsfall anrichten kann, reicht je nach System vom Absturz der Relaissteuerung bis zur Ausführung eigenen Programmcodes mit den Rechten des SvxLink-Prozesses. Zum Vergleich: Lücken dieser Größenordnung waren es, die in den vergangenen Jahren Krankenhäuser und Stadtverwaltungen lahmgelegt haben. Ein Relaisrechner ist kein Rechenzentrum, aber das Prinzip ist dasselbe.
Die schwerste Lücke steckt im EchoLink-Verzeichnisdienst. Beim Einlesen der Stationsliste wird die Stationsbeschreibung ungeprüft in einen zu kleinen Speicherbereich kopiert; ein manipulierter oder unterwegs abgefangener Verzeichnisserver kann darüber fremden Code auf dem Relaisrechner ausführen. Die Verbindung zum Verzeichnisserver läuft unverschlüsselt, ein Mitschneiden und Verändern ist also technisch unaufwendig. Betroffen sind SvxLink mit EchoLink-Modul ebenso wie der Client Qtel auf dem heimischen PC. Die zweite kritische Lücke betrifft RemoteTrx: Ist kein AUTH_KEY konfiguriert, erhält jeder erreichbare Rechner ohne jede Anmeldung vollen Zugriff auf den Transceiver – einschließlich Sendetastung. Wer dann unter dem Rufzeichen der Relaisfunkstelle sendet, entscheidet nicht mehr der Sysop.
Zu tun ist Folgendes: Version prüfen und auf 26.05.1 aktualisieren. Die Pakete der Linux-Distributionen sind noch nicht nachgezogen – Debian liefert derzeit 25.05.1 – und benötigen Rückportierungen, die bislang nicht vorliegen. Wer nicht sofort aktualisieren kann, sollte für jeden RemoteTrx-Uplink zwingend einen AUTH_KEY setzen und die Ports von RemoteTrx und SvxReflector per Firewall auf bekannte Gegenstellen beschränken. CVE-Nummern sind bislang nicht vergeben.
Die vollständigen Hinweise stehen unter https://github.com/sm0svx/svxlink/security/advisories.
SvxLink ist eine im Amateurfunk verbreitet quelloffene Software zur Relaissteuerung und Sprachvernetzung, entwickelt von Tobias Blomberg (SM0SVX). In Deutschland läuft ein großer Teil der FM-Relais, EchoLink-Zugänge und Linkverbünde auf dieser Basis, oft auf einem Raspberry Pi