Bulletin d'alerte Debian

DSA-2469-1 linux-2.6 -- Augmentation de droits, déni de service

Date du rapport :
10 mai 2012
Paquets concernés :
linux-2.6
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2011-4086, CVE-2012-0879, CVE-2012-1601, CVE-2012-2123, CVE-2012-2133.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans le noyau Linux, qui pourraient conduire à un déni de service ou une augmentation de droits. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

  • CVE-2011-4086

    Eric Sandeen a signalé un problème dans la couche de journalisation des systèmes de fichiers ext4 (jbd2). Des utilisateurs locaux peuvent forcer des accès aux tampons après qu'ils aient été détruits, provoquant un déni de service (DoS) à cause d'un plantage système.

  • CVE-2012-0879

    Louis Rilling a signalé deux problèmes de comptage de référence dans la fonctionnalité CLONE_IO du noyau. Des utilisateurs locaux peuvent empêcher les structures en contexte io d'être libérées, avec pour conséquence un déni de service.

  • CVE-2012-1601

    Michael Ellerman a signalé un problème dans le sous-système KVM. Des utilisateurs locaux pourraient provoquer un déni de service (déréférencement de pointeur NULL) en créant des processeurs virtuels avant un appel à KVM_CREATE_IRQCHIP.

  • CVE-2012-2123

    Steve Grubb a signalé un problème dans fcaps, un système de capacités basé sur un système de fichiers. Les drapeaux de personnalité définis en utilisant ce mécanisme, comme la désactivation des attributions aléatoires de l'espace d'adresse, peuvent persister entre les appels SUID.

  • CVE-2012-2133

    Shachar Raindel a découvert un bogue d'utilisation de mémoire après libération dans l'implémentation de quota des pages immenses. Des utilisateurs locaux ayant le droit d'utiliser des pages immenses à l'aide de l'implémentation hugetlbfs pourraient être capables de provoquer un déni de service (plantage du système).

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 2.6.32-44. Les mises à jour ne sont actuellement disponibles que pour les portages amd64, i386 et sparc.

Remarque : les paquets linux-2.6 mis à jour seront aussi disponibles avec la publication de Debian 6.0.5, prévue le weekend du 12 mai. Cette mise à jour en attente aura pour version 2.6.32-45, et fournira un correctif supplémentaire pour les échecs de construction sur certaines architectures. Les utilisateurs pour lesquels cette mise à jour n'est pas critique, et qui préfèrent éviter plusieurs redémarrages, peuvent attendre la publication de la version 6.0.5 avant de mettre à jour, ou installer la version 2.6.32-45 en avance à partir de proposed-updates.

Le tableau suivant indique la liste des paquets supplémentaires qui ont été reconstruits à des fins de compatibilité ou pour tirer parti de cette mise à jour :

  Debian 6.0 (Squeeze)
user-mode-linux 2.6.32-1um-4+44

Nous vous recommandons de mettre à jour vos paquets linux-2.6 et user-mode-linux.