Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Linux-Kernel
Betroffene Plattformen:
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 14.10
Mehrere Schwachstellen im Linux-Kernel ermöglichen einem lokalen, nicht
authentifizierten oder einem entfernten, angemeldeten Benutzer, als
Angreifer, die Durchführung von Denial-of-Service-Angriffen oder die
Eskalation seiner Privilegien.
Für die Distributionen Ubuntu 14.10 und Ubuntu 14.04 LTS, Utopic HWE stehen
Sicherheitsupdates bereit.
Patch:
Ubuntu Security Notice USN-2615-1 (Utopic HWE)
http://www.ubuntu.com/usn/usn-2615-1/
Patch:
Ubuntu Security Notice USN-2616-1
http://www.ubuntu.com/usn/usn-2616-1/
CVE-2014-9710: Schwachstelle im Linux-Kernel ermöglicht eine
Privilegieneskalation
Im Linux-Kernel, der mit ‘btrfs’-Dateisystem-Support gebaut ist
(CONFIG_BTRFS_FS), kann es bei der Behandlung von erweiterten Attributen
(xattrs) zu einer Wettlaufsituation kommen. Ein lokaler, nicht
authentisierter Angreifer kann die Schwachstelle nutzen, um definierte ACLs
zu umgehen und seine Privilegien zu erweitern.
CVE-2015-3332: Schwachstelle im Linux-Kernel ermöglicht Denial-of-Service
Die Option “TCP Fast Open” resultiert in einem BUG() des Kernels sobald sie
benutzt wird. Ein lokaler, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, um einen Systemabsturz auszulösen
(Denial-of-Service).
CVE-2015-3331: Schwachstelle im Linux-Kernel ermöglicht
Privilegieneskalation
Die optimierte Implementierung von RFC4106 GCM für x86-CPUs mit
AESNI-Unterstützung berechnet Speicheradressen in manchen Fällen falsch, so
dass es zu Speicherkorruption und Systemabstürzen (z.B. bei IPsec-Tunneln
mit Modus AES-GCM-ESP) kommen kann. Ein entfernter, einfach
authentifizierter Angreifer kann diese Schwachstelle mittels speziell
präparierter AES-verschlüsselter Pakete ausnutzen, um einen Systemabsturz zu
provozieren (Denial-of-Service) oder möglicherweise seine Privilegien zu
erhöhen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0733/
Schwachstelle CVE-2015-3331 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3331
Schwachstelle CVE-2015-3332 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3332
Ubuntu Security Notice USN-2615-1 (Utopic HWE) :
http://www.ubuntu.com/usn/usn-2615-1/
Ubuntu Security Notice USN-2616-1:
http://www.ubuntu.com/usn/usn-2616-1/
Schwachstelle CVE-2014-9710 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9710
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
