Bulletin d'alerte Debian

DLA-2494-1 linux -- Mise à jour de sécurité pour LTS

Date du rapport :

18 décembre 2020

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2020-0427, CVE-2020-8694, CVE-2020-14351, CVE-2020-25645, CVE-2020-25656, CVE-2020-25668, CVE-2020-25669, CVE-2020-25704, CVE-2020-25705, CVE-2020-27673, CVE-2020-27675, CVE-2020-28974.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui pourraient conduire à l'exécution de code arbitraire, à une élévation des privilèges, à un déni de service ou à une fuite d'informations.

CVE-2020-0427
Elena Petrova a signalé un bogue dans le sous-système pinctrl qui peut conduire à une utilisation de mémoire après libération après le renommage d’un périphérique. L’impact de sécurité est incertain.
CVE-2020-8694
Plusieurs chercheurs ont découvert que le sous-système powercap permettait par défaut à tous les utilisateurs de lire le mesureur d’énergie du CPU. Sur les systèmes utilisant les CPU d’Intel, cela fournissait un canal auxiliaire permettant de divulguer des informations sensibles entre les processus d’utilisateur, ou du noyau vers les processus d’utilisateurs. Ce mesureur est par défaut désormais lisible uniquement par le superutilisateur.

Ce problème peut être mitigé en exécutant :

chmod go-r /sys/devices/virtual/powercap/*/*/energy_uj

Cela doit être répété à chaque redémarrage du système avec une version du noyau non précisée.
CVE-2020-14351
Une situation de compétition a été découverte dans le sous-système d'évènements de performance qui pourrait conduire à une utilisation de mémoire après libération. Un utilisateur local autorisé à y accéder pourrait utiliser cela pour provoquer un déni de service (plantage ou corruption de mémoire) ou, éventuellement, pour une élévation des privilèges.

La configuration Debian du noyau ne permet pas par défaut aux utilisateurs non privilégiés cet accès, ce qui atténue complètement ce défaut.
CVE-2020-25645
Un défaut a été découvert dans le pilote d’interface pour le trafic encapsulé GENEVE lorsqu’il est combiné avec IPsec. Si IPsec est configuré pour chiffrer le trafic pour le port spécifique UDP utilisé par le tunnel de GENEVE, les données tunnelisées ne sont pas correctement dirigées avec le lien chiffré et plutôt envoyées en clair.
CVE-2020-25656
Yuan Ming et Bodong Zhao ont découvert une situation de compétition dans le pilote de terminal virtuel (vt) qui pourrait conduire à une utilisation de mémoire après libération. Un utilisateur local avec la capacité CAP_SYS_TTY_CONFIG pourrait utiliser cela pour provoquer un déni de service (plantage ou corruption de mémoire) ou, éventuellement, pour une élévation des privilèges.
CVE-2020-25668
Yuan Ming et Bodong Zhao ont découvert une situation de compétition dans le pilote du terminal virtuel (vt) qui pourrait conduire à une utilisation de mémoire après libération. Un utilisateur local avec accès au terminal virtuel ou avec la capacité CAP_SYS_TTY_CONFIG pourrait utiliser cela pour provoquer un déni de service (plantage ou corruption de mémoire) ou, éventuellement, pour une élévation des privilèges.
CVE-2020-25669
Bodong Zhao a découvert un bogue dans le pilote de clavier Sun (sunkbd) qui pourrait conduire à une utilisation de mémoire après libération. Sur un système utilisant ce pilote, un utilisateur local pourrait utiliser cela pour provoquer un déni de service (plantage ou corruption de mémoire) ou, éventuellement, pour une élévation des privilèges.
CVE-2020-25704
kiyin a découvert une fuite de mémoire potentielle dans le sous-système d'évènements de performance. Un utilisateur local y ayant accès pourrait utiliser cela pour provoquer un déni de service (épuisement de mémoire).

La configuration Debian du noyau ne permet pas par défaut aux utilisateurs non privilégiés cet accès, ce qui atténue complètement ce défaut.
CVE-2020-25705
Keyu Man a signalé que la limitation stricte de débit pour la transmission de paquets ICMP fournit un canal auxiliaire aidant des attaquants réseau à conduire une usurpation de paquet (spoofing). En particulier, cela est pratique pour des attaquants réseau hors chemin pour empoisonner les caches DNS avec des réponses usurpées (attaque SAD DNS).

Ce problème a été mitigé en rendant aléatoire le fait de compter les paquets selon la limite de débit.
CVE-2020-27673 / XSA-332
Julien Grall d’Arm a découvert un bogue dans le code de traitement d’évènement de Xen. Où Linux était utilisé dans un dom0 Xen, des invités non privilégiés (domU) pourraient causer un déni de service (utilisation excessive du CPU usage ou plantage) dans dom0.
CVE-2020-27675 / XSA-331
Jinoh Kang de Theori a découvert une situation de compétition dans le code de traitement d’évènement Xen. Où Linux était utilisé dans un dom0 Xen, des invités non privilégiés (domU) pourraient causer un déni de service (utilisation excessive du CPU usage ou plantage) dans dom0.
CVE-2020-28974
Yuan Ming a découvert un bogue dans le pilote de terminal virtuel (vt) qui pourrait conduire à une lecture hors limites. Un utilisateur local avec accès à un terminal virtuel, ou avec la capacité CAP_SYS_TTY_CONFIG, pourrait éventuellement utiliser cela pour obtenir des informations sensibles du noyau ou pour provoquer un déni de service (plantage).

L’opération spécifique ioctl touchée par ce bogue (KD_FONT_OP_COPY) a été désactivée, car personne ne pense qu’un programme en dépende.

Pour Debian 9 Stretch, ces problèmes ont été corrigés dans la version 4.9.246-2.

Nous vous recommandons de mettre à jour vos paquets linux.

Pour disposer d'un état détaillé sur la sécurité de linux, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/linux.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.