Рекомендация Debian по безопасности

DSA-3793-1 shadow -- обновление безопасности

Дата сообщения:

24.02.2017

Затронутые пакеты:

shadow

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 832170, Ошибка 855943.
В каталоге Mitre CVE: CVE-2016-6252, CVE-2017-2616.

Более подробная информация:

В наборе инструментов shadow было обнаружено несколько уязвимостей. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

CVE-2016-6252
Было обнаружено переполнение целых чисел, потенциально позволяющее локальному пользователю повысить привилегии с помощью специально сформированных входных данных для утилиты newuidmap.
CVE-2017-2616
Тобиас Штёкман обнаружил, что su неправильно обрабатывает очистку дочернего PID. Локальный злоумышленник может использовать эту уязвимость для отправки SIGKILL другим процессам с правами суперпользователя, что приводит к отказу в обслуживании.

В стабильном выпуске (jessie) эти проблемы были исправлены в версии 1:4.2-3+deb8u3.

Рекомендуется обновить пакеты shadow.