Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Paket kernel-rt
Betroffene Plattformen:
MRG Realtime für RHEL 6 Server Version 2 – noarch, x86_64
Aufgrund zweier Schwachstellen im Fedora Echtzeit-Kernel ist es einem
lokalen Angreifer möglich das System zum Absturz zu bringen.
Software Upgrade:
Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.
CVE-2012-2123: Schwachstelle im Kernel
In der Funktion cap_bprm_set_creds() in der Datei ‘security/commoncap.c’ im
Linux-Kernel werden Erweiterungen von Berechtigungen eines Programms,
welche mittels ‘fcaps’ vom Dateisystem übernommen wurden, fehlerhaft
gewährt. Dies ermöglicht einem lokalen Angreifer durch das Verwenden von
‘personalities’, Beschränkungen von Programmen, welche mittels ‘fcaps’
gesetzt wurden, zu umgehen.
CVE-2011-4086: Schwachstelle in Implementierung des Ext4-Dateisystems
Die Funktion journal_unmap_buffer() im Linux-Kernel versäumt es beim Ändern
des Zustands von zap_buffer auch die Variablen “_Delay” und “_Unwritten”
anzupassen. Auf Systemen mit eingehängtem Ext4-Dateisystem mit Journal ist
es einem lokalen Angreifer dadurch möglich einen Denial-of-Service-Zustand
(DoS) herbeizuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0951/
Das Hersteller Advisory:
https://rhn.redhat.com/errata/RHSA-2012-0670.html
Schwachstelle CVE-2011-4086:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4086
Schwachstelle CVE-2012-2123:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2123
(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.
