Рекомендация Debian по безопасности

DSA-2745-1 linux -- повышение привилегий/отказ в обслуживании/утечка информации

Дата сообщения:
28.08.2013
Затронутые пакеты:
linux
Уязвим:
Да
Ссылки на базы данных по безопасности:
В системе отслеживания ошибок Debian: Ошибка 701744.
В каталоге Mitre CVE: CVE-2013-1059, CVE-2013-2148, CVE-2013-2164, CVE-2013-2232, CVE-2013-2234, CVE-2013-2237, CVE-2013-2851, CVE-2013-2852, CVE-2013-4162, CVE-2013-4163.
Более подробная информация:

В ядре Linux были обнаружены несколько уязвимостей, которые могут приводить к отказу в обслуживании, утечке информации или повышению привилегий. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

  • CVE-2013-1059

    Чанам Парк сообщил о проблеме в системе распределённого хранения Ceph. Удалённые пользователи могут вызвать оказ в обслуживании, посылая специально созданное сообщение auth_reply.

  • CVE-2013-2148

    Дэн Карпентер сообщил об утечке информации в подсистеме (файловой системы) сообщений широкого доступа (fanotify). Локальные пользователи могут получить доступ е чувствительной памяти ядра.

  • CVE-2013-2164

    Джонатан Солуэн сообщил об утечке информации в драйвере CD-ROM. Локальный пользователь системы с некорректно работающим приводом CD-ROM может получить доступ к чувствительной памяти.

  • CVE-2013-2232

    Дэйв Джонс и Ханна Фредерик Соуа разрешили проблему в подсистеме IPv6. Локальные пользователи могли вызывать отказ в обслуживании, используя сокет AF_INET6 для подключения к адресу IPv4.

  • CVE-2013-2234

    Матиас Краузе сообщил об утечке памяти в реализации сокетов PF_KEYv2. Локальные пользователи могут получить доступ к чувствительной памяти ядра.

  • CVE-2013-2237

    Николас Дихель сообщил об утечке памяти в реализации сокетов PF_KEYv2. Локальные пользователи могут получить доступ к чувствительной памяти ядра.

  • CVE-2013-2851

    Кис Кук сообщил о проблеме в блочной подсистеме. Локальные пользователи с uid 0 могут получить привилегии ring 0. Эта проблема безопасности оказывает влияние только на некоторые особым образом настроенные системы.

  • CVE-2013-2852

    Кис Кук сообщил о проблеме с сетевой драйвере b43 для некоторых беспроводных устройств Broadcom. Локальные пользователи с uid 0 могут получить привилегии ring 0. Данная проблема безопасности оказывает влияние только на некоторые особым образом настроенные системы.

  • CVE-2013-4162

    Ханна Фредерик Соуа сообщил о проблеме в сетевой подсистеме IPv6. Локальные пользователи могут вызвать отказ в обслуживании (аварийное завершение системы).

  • CVE-2013-4163

    Дэйв Джонс сообщил о проблеме в сетевой подсистеме IPv6. Локальные пользователи могут вызвать отказ в обслуживании (аварийное завершение системы).

Также данное обновление включает в себя исправление регресса в подсистеме Xen.

В стабильном выпуске (wheezy) эти проблемы были исправлены в версии 3.2.46-1+deb7u1.

Следующая матрица содержит дополнительные пакеты с исходным кодом, которые были заново собраны для обеспечения совместимости с данным обновлением, либо для получения преимуществ данного обновления:

  Debian 7.0 (wheezy)
user-mode-linux 3.2-2um-1+deb7u2

Мы рекомендуем вам обновить ваши пакеты linux и user-mode-linux.

Внимание: Debian внимательно отслеживает все известные проблемы безопасности во всех пакетах ядра linux во всех выпусках, находящихся в стадии активной поддержки обновлениями безопасности. Тем не менее, учитывая высокую частоту, с которой обнаруживаются проблемы безопасности низкой степени опасности, и требования к ресурсам для создания обновления, обновления проблем с более низким приоритетом обычно не будут выпускаться для всех ядер одновременно. Скорее же они будут выпускаться в шахматном порядке или в порядке чахорды.