Ubuntu behebt authd-Lücke, die eine Cloud-Identität einem fremden Konto zuordnen konnte
Serguey Asael Shinder1 Min. LesezeitCanonical hat USN-8957-1 für authd veröffentlicht, den Ubuntu-Authentifizierungsdienst, mit dem sich Nutzer mit einem Konto eines Cloud-Identitätsanbieters an einem Rechner anmelden. Laut Meldung prüfte authd Nutzeridentitäten nicht korrekt, wenn es Konten von Identitätsanbietern lokalen Konten zuordnete; ein Angreifer könnte so möglicherweise Zugriff auf das lokale Konto und die Dateien eines anderen Nutzers erlangen. Entdeckt hat das Problem Ali Mashally.
Die Korrektur kommt als Paketaktualisierung. Die Meldung nennt einen Schritt, den ein gewöhnliches Upgrade nicht von selbst erledigt: Nach dem Systemupdate muss authd neu gestartet werden, damit die Änderung greift.
Was das bedeutet
authd soll lokale Linux-Konten mit anderswo verwalteten Identitäten verknüpfen; ein Fehler beim Abgleich trifft also genau die Frage, wer ein Nutzer auf dem Rechner ist — die einzige Aufgabe der Komponente. Flotten, die authd für Single Sign-on nutzen, sollten das als Korrektur der Zugriffskontrolle behandeln, nicht als Routine-Patch, und prüfen, ob der Neustart tatsächlich erfolgt ist: Ein aktualisiertes Paket bei weiterlaufendem altem Dienst lässt die Lücke offen. Welche Anbieter oder Abgleichskonfigurationen betroffen sind, sagt die Meldung nicht — bis zur Klärung also von allen ausgehen.