Bulletin d'alerte Debian

DSA-2632-1 linux-2.6 -- augmentation de droits/déni de service

Date du rapport :

25 février 2013

Paquets concernés :

linux-2.6

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2013-0231, CVE-2013-0871.

Plus de précisions :

Plusieurs vulnérabilités découvertes dans le noyau Linux pourraient conduire à un déni de service ou une augmentation de droits. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

CVE-2013-0231
Jan Beulich a fourni un correctif pour un problème dans les pilotes de moteur PCI de Xen. Les utilisateurs de clients sur un système utilisant des périphériques de tunnel PCI (passed-through) peuvent déclencher un déni de service du système hôte à cause de l'utilisation de messages de journal du noyau sans limite de taux.
CVE-2013-0871
Suleiman Souhlal et Salman Qazi de Google, avec l'aide de Aaron Durbin et Michael Davidson de Google, ont découvert un problème dans le sous-système ptrace. À cause d'une situation de compétition avec PTRACE_SETREGS, des utilisateurs locaux peuvent provoquer une corruption de pile du noyau et l'exécution de code arbitraire.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 2.6.32-48squeeze1.

Le tableau suivant indique la liste des paquets supplémentaires qui ont été reconstruits à des fins de compatibilité ou pour tirer parti de cette mise à jour :

	Debian 6.0 (Squeeze)
user-mode-linux	2.6.32-1um-4+48squeeze1

Nous vous recommandons de mettre à jour vos paquets linux-2.6 et user-mode-linux.