A Canonical új Linux kernel biztonsági frissítéseket tett közzé az összes támogatott Ubuntu kiadáshoz, amelyek több, különböző biztonsági kutatók által a közelmúltban felfedezett biztonsági rést orvosolnak.
Két héttel az előző biztonsági frissítések után, amelyek összesen 3 kisebb horderejű sebezhetőséget orvosoltak, az új Linux kernel biztonsági javítások elérhetőek:
- az Ubuntu 22.04 LTS (Jammy Jellyfish)
- az Ubuntu 21.10 (Impish Indri),
- az Ubuntu 20. 04 LTS (Focal Fossa), így a Linux Mint 20.x sorozathoz is,
- az Ubuntu 18.04 LTS (Bionic Beaver), így a Linux Mint 19.x sorozathoz is,
- illetve az ESM fázisban lévő kernelekhez az Ubuntu 16.04 ESM (Xenial Xerus), és
- az Ubuntu 14.04 ESM (Trusty Tahr) kiadásokhoz.
Több mint 30 biztonsági rést javítottak ki ebben a hatalmas Ubuntu kernel frissítésben. Az összes Ubuntu kiadásban közös a CVE-2022-1966, egy Aaron Adams által felfedezett use-after-free sebezhetőség a netfilter alrendszerben, amely lehetővé teszi egy helyi támadó számára, hogy szolgáltatásmegtagadást (rendszerösszeomlás) okozzon vagy tetszőleges kódot futtasson, valamint a CVE-2022-21499, egy kernelhiba, amely lehetővé teszi, hogy a kiváltságos támadók megkerüljék az UEFI Secure Boot korlátozásait, valamint a CVE-2022-28390, egy kettős szabad sebezhetőség, amelyet az EMS CAN/USB interfész implementációjában fedeztek fel, és amely lehetővé teszi, hogy a helyi támadó szolgáltatásmegtagadást (memória kimerülése) okozzon.
A masszív frissítésben javított további gyakori biztonsági rések a CVE-2022-1972, amely a Linux kernel 5.15 LTS-t futtató Ubuntu 22.04 LTS rendszereket, valamint a Linux kernel 5-t futtató Ubuntu 21.10 és Ubuntu 20.04 LTS rendszereket érinti. 13-as rendszermagot érintő, Ziming Zhang által a netfilter alrendszerben felfedezett biztonsági rést, valamint a CVE-2022-24958-as biztonsági rést, amely az USB Gadget fájlrendszer interfészében felfedezett, az Ubuntu 21.10 és 20.04 LTS rendszerek Linux 5.13-as rendszermagját, valamint az Ubuntu 20.04 LTS és 18.04 LTS rendszerek Linux 5.4 LTS rendszermagját érinti. Mindkét hiba lehetővé teheti egy helyi támadó számára, hogy szolgáltatásmegtagadást (rendszerösszeomlás) vagy tetszőleges kód futtatását okozza.
Ugyanez vonatkozik a CVE-2022-28356-ra, a 赵子轩 által a Linux kernel 802.2 LLC type 2 meghajtójában felfedezett biztonsági résre, a CVE-2022-28389-re, a Microchip CAN BUS Analyzer interfész implementációjában felfedezett double-free sebezhetőségre, a CVE-2022-1198-ra, a Duoming Zhou által a 6pack protokoll implementációjában felfedezett use-after-free sebezhetőségre, a CVE-2022-1516-ra, az X.25 implementációjában felfedezett hibára. hálózati protokollok implementációjában felfedezett biztonsági hiba, valamint a CVE-2022-1353, a PF_KEYv2 implementációjában felfedezett biztonsági probléma. Ezek a problémák az Ubuntu 22.04 LTS, Ubuntu 20.04 LTS és Ubuntu 18.04 LTS rendszerek rendszermagjait érintették, és egy helyi támadó számára lehetővé tehetik szolgáltatásmegtagadás (rendszerösszeomlás) okozását vagy érzékeny információk (kernelmemória) felfedését.
Egy másik gyakori biztonsági rés, amelyet az új Ubuntu kernelfrissítésben javítottak, ezúttal az Ubuntu 20.04 LTS és az Ubuntu 18.04 LTS rendszerek kerneleit érinti, a CVE-2021-3772, a Linux kernel SCTP protokoll implementációjában felfedezett hiba, amely lehetővé teheti egy távoli támadó számára, hogy szolgáltatásmegtagadást (kapcsolat szétválasztása) okozzon.
Kizárólag a Linux kernel 5.15 LTS-t futtató Ubuntu 22.04 LTS rendszerek esetében az új biztonsági frissítés 10 további sebezhetőséget orvosol, köztük a CVE-2022-1671-et, az RxRPC munkamenet foglalat implementációjában felfedezett hibát, amely lehetővé teszi, hogy egy helyi támadó szolgáltatásmegtagadást (rendszerösszeomlás) vagy esetleg érzékeny információk (kernel memória) felfedezését okozza, a CVE-2022-1204, CVE-2022-1205 és CVE-2022-1199, három hibát, amelyeket Duoming Zhou fedezett fel az AX.25 amatőr rádiós protokoll implementációjában, amelyek lehetővé teszik egy helyi támadó számára, hogy szolgáltatásmegtagadást (rendszerösszeomlás) okozzon, valamint a CVE-2022-1263, egy KVM biztonsági probléma, amelyet Qiuhao Li, Gaoning Pan és Yongkang Jia fedezett fel, és amely lehetővé teszi egy vendég VM-ben lévő helyi támadó számára, hogy összeomlassza a gazdarendszert.
Az Ubuntu 22 Linux 5.15 LTS kernelében is javítva. 04 LTS rendszerekben a CVE-2022-28388, a 8 Devices USB2CAN interfész implementációjában felfedezett dupla szabad sebezhetőség, a CVE-2022-1651, az ACRN Hypervisor Service Module implementációjában talált hiba, a CVE-2022-1048, Hu Jiahui által az ALSA keretrendszerben felfedezett több versenyfeltétel, CVE-2022-0168, Billy Jheng Bing által a CIFS hálózati fájlrendszer implementációjában felfedezett hiba, és CVE-2022-1195, a 6pack és mkiss protokollok implementációjában felfedezett use-after-free sebezhetőség. Ezek a biztonsági problémák lehetővé tehetik egy helyi támadó számára, hogy szolgáltatásmegtagadást (rendszerösszeomlás vagy memória kimerülés) okozzon, vagy esetleg tetszőleges kódot futtasson.
Kizárólag a Linux kernel 5.4 LTS-t futtató Ubuntu 20.04 LTS és Ubuntu 18.04 LTS rendszerekhez az új biztonsági frissítés 10 további sebezhetőséget, köztük a CVE-2022-23036, CVE-2022-23037, CVE-2022-23038 sérülékenységeket is orvosolja,
CVE-2022-23039, CVE-2022-23040, CVE-2022-23041 és CVE-2022-23042, amelyek Demi Marie Obenour és Simon Gaiser által a Xen paravirtualizációs eszköz frontendjeiben felfedezett hibák sorozatát jelentik, és amelyek lehetővé teszik a támadó számára, hogy rosszindulatú Xen backend használatával hozzáférjen egy vendég VM memóriaoldalaihoz vagy szolgáltatásmegtagadást okozzon a vendégben.
Kizárólag a Linux kernel 5.4 LTS-t futtató Ubuntu 20.04 LTS és Ubuntu 18.04 LTS rendszerek számára az új biztonsági frissítés 10 további sebezhetőséget, köztük a CVE-2022-23036, CVE-2022-23037, CVE-2022-23038 biztonsági rést is orvosol,
CVE-2022-23039, CVE-2022-23040, CVE-2022-23041 és CVE-2022-23042, amelyek Demi Marie Obenour és Simon Gaiser által a Xen paravirtualizációs eszköz frontendjeiben felfedezett hibák sorozatát jelentik, és amelyek lehetővé teszik a támadó számára, hogy rosszindulatú Xen backend használatával hozzáférjen egy vendég VM memóriaoldalaihoz vagy szolgáltatásmegtagadást okozzon a vendégben.
Szintén javítva a Linux 5.4 LTS kernelben az Ubuntu 20.04 LTS és az Ubuntu 18. 04 LTS rendszerekben a CVE-2022-1011, a Google Project Zero munkatársa, Jann Horn által felfedezett use-after-free sebezhetőség a FUSE fájlrendszer implementációjában, amely lehetővé teszi egy helyi támadó számára, hogy szolgáltatásmegtagadást (rendszerösszeomlás) okozzon, vagy esetleg tetszőleges kódot futtasson, CVE-2021-4197, egy Eric Biederman által felfedezett biztonsági probléma a cgroup folyamatmigráció implementációjában, amely lehetővé teheti egy helyi támadó számára, hogy rendszergazdai jogosultságokat szerezzen, és CVE-2022-26966, egy hiba, amelyet az USB SR9700 ethernet eszközillesztőben fedeztek fel, és amely lehetővé teheti egy fizikailag közeli támadó számára, hogy érzékeny információkat (kernelmemória) tegyen közzé.
Végül, de nem utolsósorban ez az új, masszív Ubuntu kernelfrissítés három másik biztonsági sebezhetőséget is kijavít, amelyek az Ubuntu 18.04 LTS rendszerek Linux 4.15 kernelét érintik. Ezek a következők: CVE-2022-1016, egy David Bouman által felfedezett biztonsági hiba a netfilter alrendszerben, amely lehetővé teheti egy helyi támadó számára, hogy érzékeny információkat (kernel memória) tegyen közzé, CVE-2021-4149, egy biztonsági hiba a Btrfs fájlrendszer implementációjában, amely lehetővé teszi egy helyi
támadó szervizmegtagadást okozhat (kernel deadlock), valamint a CVE-2022-1419, a virtuális grafikus memóriakezelő implementációjában felfedezett versenyfeltétel, amely információszivárgáshoz vezethet.
A Canonical minden Ubuntu felhasználót arra kér, hogy a lehető leghamarabb frissítsék telepítéseiket a stabil archívumokban már elérhető új Linux kernelverziókra. Az Ubuntu rendszer frissítéséhez használja a frissítő alkalmazást, Linux Mint alatt a Frissítéskezelő grafikus segédprogramot, vagy futtassa a következő parancsokat a Terminal alkalmazásban:
sudo apt update && sudo apt full-upgrade
Ne felejtse el újraindítani rendszerét az új kernelváltozatok telepítése után, valamint újraépíteni és újratelepíteni a harmadik féltől származó kernelmodulokat.
(forrás)
