SecurityLab: «Черный вторник» патчей для Linux сообщества

1174

Сайт SecurityLab опубликовал уведомление об уязвимости в ядре Linux, которая позволяет локальному пользователю получить root привилегии на системе.

Новость о наличии уязвимости, позволяющей выполнение произвольного кода с привилегиями учетной записи root, быстро облетела весь Интернет. Многие информационные издания успели окрестить эту уязвимость критической, создавая, таким образом, панику в рядах пользователей и системных администраторов. Паника была настолько велика, что некоторые пользователи Linux пытались «пропатчить» систему с помощью измененного эксплоита.

В чем состоит уязвимость?

Уязвимый системный вызов vmsplice() был представлен впервые в ядре 2.6.17. Уязвимость существует из-за того, что функции "vmsplice_to_user()", "copy_from_user_mmap_sem()" и "get_iovec_page_array() файла fs/splice.c не проверяют передаваемые им указатели с помощью вызова access_ok(). Отсутствие подобной проверки позволяет локальному пользователю прочитать и записать произвольные данные в память ядра.

Чем опасна уязвимость?

Локальный непривилегированный пользователь, который имеет физический или удаленный (например, посредством ssh) доступ к системе и валидные учетные данные (включая доступ к консоли - shell) может получить привилегии учетной записи root или аварийно завершить работу системы.

Какие системы уязвимы?

Уязвимости подвержены все системы, с включенной поддержкой системного вызова vmsplice() и собранные на основе ядра версий с 2.6.17 до 2.6.23.16 и 2.6.24.2. Согласно уведомлениям, уязвимость не распространяется на ядра, которые используют патчи grsecurity, сконфигурированные корректным образом.

Почему SecurityLab выставил низкий рейтинг опасности для уязвимости?

Согласно шкале, используемой для оценки риска опасности уязвимостей, все локальные уязвимости представляют низкий рейтинг опасности. Данная оценка рассчитана на то, что целевая система корректно настроена (с точки зрения безопасности) и не существует возможности получения доступа к ней извне удаленным или локальным неавторизованным пользователем; для локальных учетных записей настроены корректные привилегии доступа, включая доступ к консоли; используются «сильные» пароли и установлены последние обновления для используемого программного обеспечения. Некорректная, с точки зрения безопасности, настройка системы сама по себе является уязвимостью и может усилить влияние других уязвимостей на систему.

Как устранить уязвимость?

Для устранения уязвимости необходимо скачать и установить исправление, доступное на сайте производителя вашего дистрибутива, или пересобрать ядро, доступное на сайте www.kernel.org. После установки исправления потребуется перезагрузка системы.

13 февраля 2008

11:30

Ctrl
ПредыдущаяСледующая

Все новости за сегодня

Поисковик Google теперь будет предоставлять короткие превью для видеороликов: Поисковая система Google сможет показывать превью-видео1

Смартфон HomTom S8 также копирует дизайн Samsung Galaxy S8: Цена устройства составит 190 долларов1

Процессоры Intel Core восьмого поколения не будут дороже актуальных CPU: Intel не поднимет цены на CPU при выходе Coffee Lake9

AMD пока не может гарантировать наличия в магазинах видеокарт Radeon RX Vega 64 по рекомендованным ценам: AMD призналась в дефиците карт Vega 5

Смартфон Xiaomi Redmi Note 5A первым в серии получит два выделенных слота для SIM-карт и слот для карты памяти: Одна из версий Xiaomi Redmi Note 5A получит фронтальную камеру разрешением 16 Мп со светодиодной вспышкой1

Hyundai сконцентрируется на электромобилях вместо машин на топливных элементах : Hyundai увеличит объёмы выпуска электромобилей1

Samsung Pay отмечает два года, сумма платежей составила $8,77 млрд: Samsung Pay в данный момент работает в 18 странах мира1

Samsung готовится к глобальному запуску Bixby: Персональный помощник по-прежнему недоступен во многих странах мира

Умные кроссовки Xiaomi Free Tie Leather оценены в $30: Кроссовки оснащены светодиодной подсветкой, процессором, а также модулем Bluetooth 4.04

Семейство 3D-карт Colorful iGame Vulcan X пополнили модели GTX 1080 Ti, GTX 1080, GTX 1070 и GTX 1060: Общей чертой этих 3D-карт является система охлаждения, в кожух которой встроен жидкокристаллический индикатор3

Конструкция компьютерного корпуса Thermaltake View 71 Tempered Glass Edition включает четыре панели из закаленного стекла: Цену новинки производитель не называет2

ВИКТОРИНА ASUSTOR

Процессор с какой архитектурой установлен в ASUSTOR AS6302T, благодаря которому производительно выросла на 30% по сравнению с прошлым поколением?
1318

iXBT TV

  • Обзор легкой, компактной и дешевой мясорубки Kitfort KT-2101 Carnivora

  • Обзор беззеркальной фотокамеры Fujifilm X-T20

  • Обзор кинотеатрального DLP-проектора BenQ W11000 с эмуляцией разрешения 4К

  • AMD Ryzen Threadripper 1920Х и 1950X — тестирование 12-ядерного и 16-ядерного процессоров

  • Обзор мини-ПК ECS Liva Z на базе процессора Apollo Lake

  • Самый лучший процессор, неудачи Microsoft, гибкие наушники Samsung

  • Обзор цветного МФУ Xerox VersaLink C405 для малых и средних офисов

  • Обзор умного чайника Redmond SkyKettle RK-G200S с подсветкой и нагревом воды до нужной температуры

  • Конфигурируем мини-ПК: изучаем влияние памяти и накопителя на быстродействие системы

  • 3D-карты AMD Radeon RX Vega, цены, спецификации, смартфон Meizu Pro 7

  • Обзор лазерного цветного МФУ Canon imageRunner Advance C3520i, младшего в новой линейке

  • Обзор робота-пылесоса iBoto Aqua V710 с функцией влажной уборки

1212

Календарь

февраль
Пн
Вт
Ср
Чт
Пт
Сб
Вс

Рекомендуем почитать