Bulletin d'alerte Debian

DSA-3170-1 linux -- Mise à jour de sécurité

Date du rapport :
23 février 2015
Paquets concernés :
linux
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2013-7421, CVE-2014-7822, CVE-2014-8160, CVE-2014-8559, CVE-2014-9585, CVE-2014-9644, CVE-2014-9683, CVE-2015-0239, CVE-2015-1420, CVE-2015-1421, CVE-2015-1593.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui pourraient conduire à un déni de service, des fuites d'informations ou une augmentation de droits.

  • CVE-2013-7421 / CVE-2014-9644

    L'interface Crypto permettait à des utilisateurs sans droit de charger des modules arbitraires du noyau. Un utilisateur local peut utiliser ce défaut pour exploiter des vulnérabilités dans des modules qui n'auraient pas été chargés normalement.

  • CVE-2014-7822

    Akira Fujita a découvert que l'appel système splice() ne validait pas la position et la longueur d'un fichier donné. Un utilisateur local sans droit peut utiliser ce défaut pour provoquer la corruption du système de fichiers sur les systèmes de fichiers ext4 ou éventuellement d'autres effets.

  • CVE-2014-8160

    Florian Westphal a découvert qu'une règle netfilter (iptables/ip6tables) acceptant des paquets dans un port ou une terminaison (endpoint) particuliers SCTP, DCCP, GRE ou UDPlite pourrait avoir pour conséquence un état de suivi de connexion incorrect. Si seul le module de suivi de connexion générique (nf_conntrack) a été chargé et pas le module de suivi de connexion spécifique au protocole, cela pourrait permettre l'accès à n'importe quel port ou terminaison du protocole spécifié.

  • CVE-2014-8559

    Il a été découvert que les fonctions du noyau qui font une itération sur l’arborescence d’un répertoire peuvent parvenir à un interblocage ou à un blocage continuel dans le cas où certaines des entrées du répertoire ont été récemment supprimées ou sorties du cache. Un utilisateur local sans droit peut utiliser ce défaut pour un déni de service.

  • CVE-2014-9585

    Andy Lutomirski a découvert que la randomisation d'adresses pour les vDSO (Virtual Dynamic Shared Objects) dans les processus 64 bits est extrêmement biaisée. Un utilisateur local sans droit pourrait éventuellement utiliser ce défaut pour contourner le mécanisme de protection ASLR.

  • CVE-2014-9683

    Dmitry Chernenkov a découvert qu'eCryptfs écrit au-delà de la fin du tampon alloué lors du décodage de noms de fichier chiffrés, résultant en un déni de service local.

  • CVE-2015-0239

    Il a été découvert que KVM n'émulait pas correctement l'instruction x86 SYSENTER. Un utilisateur sans droit dans un système client qui n'a pas activé SYSENTER, par exemple parce que la marque du processeur émulé est AMD, pourrait éventuellement utiliser ce défaut de provoquer un déni de service ou une augmentation de droits dans ce client.

  • CVE-2015-1420

    L'appel système open_by_handle_at() lit la taille du pointeur à partir de la mémoire de l'utilisateur une seconde fois après l'avoir validée. Un utilisateur local avec le privilège CAP_DAC_READ_SEARCH pourrait utiliser ce défaut pour une augmentation de droits.

  • CVE-2015-1421

    Il a été découvert que l'implémentation de SCTP pourrait libérer un état d'authentification alors qu'il était encore utilisé, avec pour conséquence une corruption de tas. Cela pourrait permettre à des utilisateurs distants de provoquer un déni de service ou une augmentation de droits.

  • CVE-2015-1593

    Il a été découvert que la randomisation d'adresses pour la pile initiale dans les processus 64 bits a été limitée à 20 plutôt que 22 bits d'entropie. Un utilisateur local sans droit pourrait éventuellement utiliser ce défaut pour contourner le mécanisme de protection ASLR.

Pour la distribution stable (Wheezy), ces problèmes ont été corrigés dans la version 3.2.65-1+deb7u2. Cette mise à jour corrige en plus des régressions introduites dans les versions 3.2.65-1 et 3.2.65-1+deb7u1.

Pour la prochaine distribution stable (Jessie), ces problèmes seront corrigés prochainement (une partie est déjà corrigée).

Pour la distribution unstable (Sid), ces problèmes seront corrigés prochainement (une partie est déjà corrigée).

Nous vous recommandons de mettre à jour vos paquets linux.