Debians sikkerhedsbulletin

DSA-4444-1 linux -- sikkerhedsopdatering

Rapporteret den:
14. maj 2019
Berørte pakker:
linux
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 928125.
I Mitres CVE-ordbog: CVE-2018-12126, CVE-2018-12127, CVE-2018-12130, CVE-2019-11091.
Yderligere oplysninger:

Adskillige efterforskere har opdaget sårbarheder i den måde Intels processordesign har implementeret spekulativ videresendelse af data placeret i midlertidige mikroarkitektoniske strukturer (buffere). Fejlen kunne gøre det muligt for en angriber, med kontrol over en upriviligeret proces, at læse følsomme oplysninger, herunder fra kernen og alle andre processer, der kører på systemet eller på tværs af gæst-/værtgrænser til læsning af værtshukommelse.

Se https://www.kernel.org/doc/html/latest/admin-guide/hw-vuln/mds.html for flere oplysninger.

For helt at løse disse sårbarheder, er det også nødvendigt at installere opdateret CPU-mikrokode. En opdateret intel-microcode-pakke (kun tilgængelige i Debian non-free), vil blive stillet til rådighed gennem en separat DSA. Den opdaterede CPU-mikrokode kan også være tilgængelige som en del af et systems firmwareopdatering (BIOS).

Desuden indeholder denne opdatering en rettelse af en regression, som medførte deadlock inde i loopbackdriveren, hvilken opstod i forbindelse med opdateringen til 4.9.168 i den seneste punktopdatering af Stretch.

I den stabile distribution (stretch), er disse problemer rettet i version 4.9.168-1+deb9u2.

Vi anbefaler at du opgraderer dine linux-pakker.

For detaljeret sikkerhedsstatus vedrørende linux, se dens sikkerhedssporingssidede på: https://security-tracker.debian.org/tracker/linux