Debians sikkerhedsbulletin
DSA-1011-1 kernel-patch-vserver -- manglende attribut-understøttelse
- Rapporteret den:
- 21. mar 2005
- Berørte pakker:
- kernel-patch-vserver, util-vserver
- Sårbar:
- Ja
- Referencer i sikkerhedsdatabaser:
- I Debians fejlsporingssystem: Fejl 329087, Fejl 329090.
I Mitres CVE-ordbog: CVE-2005-4347, CVE-2005-4418. - Yderligere oplysninger:
-
Flere sårbarheder er opdaget i Debians vserver-understøttelse til Linux. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problems:
- CVE-2005-4347
Bjørn Steinbrink har opdaget at chroot-barrieren ikke er opsat korrekt i util-vserver, hvilket kunne føre til uautoriserede udbrud fra en vserver til værtssystemet.
Denne sårbarhed er begrænset til 2.4-kernerettelsen indeholdt i kernel-patch-vserver. Korrektionen af problemet kræver desuden at pakken util-vserver bliver opdateret, og en ny kerne installeres, bygget på den opdaterede kernel-patch-vserver-pakke.
- CVE-2005-4418
util-vservers standard-policy er sat til at stole på alle ukendte muligheder, i stedet for at anse dem for at være usikre.
Den gamle stabile distribution (woody) indeholder ikke en kernel-patch-vserver-pakke.
I den stabile distribution (sarge) er dette problem rettet i version 1.9.5.5 af kernel-patch-vserver og i version 0.30.204-5sarge3 af util-vserver.
I den ustabile distribution (sid) er dette problem rettet i version 2.3 af kernel-patch-vserver og i version 0.30.208-1 af util-vserver.
Vi anbefaler at du omgående opgraderer dine util-vserver- og kernel-patch-vserver-pakker, og opbygger en ny kerne.
- CVE-2005-4347
- Rettet i:
-
Debian GNU/Linux 3.1 (sarge)
- Kildekode:
- http://security.debian.org/pool/updates/main/k/kernel-patch-vserver/kernel-patch-vserver_1.9.5.5.dsc
- http://security.debian.org/pool/updates/main/k/kernel-patch-vserver/kernel-patch-vserver_1.9.5.5.tar.gz
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3.dsc
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3.diff.gz
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204.orig.tar.gz
- http://security.debian.org/pool/updates/main/k/kernel-patch-vserver/kernel-patch-vserver_1.9.5.5.tar.gz
- Arkitekturuafhængig komponent:
- http://security.debian.org/pool/updates/main/k/kernel-patch-vserver/kernel-patch-vserver_1.9.5.5_all.deb
- Alpha:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_amd64.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_ia64.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/u/util-vserver/util-vserver_0.30.204-5sarge3_sparc.deb
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.