Debians sikkerhedsbulletin

DSA-3290-1 linux -- sikkerhedsopdatering

Rapporteret den:
18. jun 2015
Berørte pakker:
linux
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2015-1805, CVE-2015-3636, CVE-2015-4167.
Yderligere oplysninger:

Flere sårbarheder er opdaget i Linux-kernen, hvilke måske kunne føre til en rettighedsforøgelse, lammelsesangreb (denial of service), informationslækager eller datakorruption.

  • CVE-2015-1805

    Red Hat opdagede at implementeringerne af pipe iovec-læsning og -skrivning kunne itererer over iovec'en to gange, men ændre iovec'en på en sådan måde, at det andet gennemløb tilgik den forkerte hukommelse. En lokal bruger kunne udnytte fejlen til at få systemet til at gå ned eller muligvis til rettighedsforøgelse. Det kunne også medføre datakorruption og informationslækager i pipes mellem ikke-ondsindede processer.

  • CVE-2015-3636

    Wen Xu og wushi fra KeenTeam opdagede at brugere med tilladelse til at oprette ping-sockets, kunne udnytte dem til at få systemet til at gå ned, samt på 32 bit-arkitekturer, til rettighedsforøgelse. Som standard har dog ingen brugere på et Debian-system adgang til ping-sockets.

  • CVE-2015-4167

    Carl Henrik Lunde opdagede at UDF-implementeringen manglede en nødvendig længdekontrol. En lokal bruger, som kan mounte enheder, kunne udnytte fejlen til at få systemet til at gå ned.

I den gamle stabile distribution (wheezy), er disse problemer rettet i version 3.2.68-1+deb7u2.

I den stabile distribution (jessie), blev disse problemer rettet i version 3.16.7-ckt11-1 eller tidligere, bortset fra CVE-2015-4167, som vil blive rettet senere.

Vi anbefaler at du opgraderer dine linux-pakker.