Plusieurs vulnérabilités locales et distantes ont été découvertes dans le noyau Linux. Celles-ci pouvaient permettre des dénis de service ou l'exécution de code arbitraire. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants :
Michal Miroslaw a signalé une vulnérabilité par déni de service (plantage) dans netfilter. Un attaquant distant pouvait provoquer le déréférencement d'un pointeur nul dans la fonction nfnetlink_log.
Patrick McHardy a signalé une vulnérabilité dans netfilter qui pouvait permettre à des attaquants de contourner certaines règles de parefeu (« firewall »). La valeur nfctinfo des fragments d'un paquet IPv6 réassemblé n'était pas correctement initialisée à 0, ce qui permettait à ces paquets d'être traités dans la file ESTABLISHED.
Jaco Kroon a signalé un bogue dans NETLINK_FIB_LOOKUP, dont les paquets étaient par erreur retournés au noyau, menant ainsi à une récursion sans fin. Les utilisateurs locaux pouvaient exploiter ce comportement pour provoquer un déni de service (plantage).
Pour la distribution stable (Etch), ce problème a été corrigé dans la version 2.6.18.dfsg.1-12etch2.
Le tableau suivant liste les paquets supplémentaires qui ont été reconstruits à des fins de compatibilité ou pour tirer parti de cette mise à jour :
| Debian 4.0 (Etch) | |
|---|---|
| fai-kernels | 1.17+etch2 |
| user-mode-linux | 2.6.18-1um-2etch2 |
| kernel-patch-openvz | 028.18.1etch1 |
Nous vous recommandons de mettre à jour votre paquet de noyau immédiatement et de redémarrer la machine. Si vous avez construit un noyau personnalisé avec le paquet des sources du noyau, vous devez le reconstruire pour tirer parti de ces corrections.
Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.