Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Linux-Kernel
Betroffene Plattformen:
Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 14.10
Mehrere Schwachstellen im Linux-Kernel erlauben einem lokalen, nicht
authentisierten Angreifer das Erlangen von Administratorrechten, das Umgehen
von Sicherheitsvorkehrungen und das Durchführen von
Denial-of-Service-Angriffen. Ein lokaler, authentisierter Angreifer kann
zudem noch Informationen ausspähen und Daten manipulieren.
Canonical behebt die Schwachstellen für Ubuntu 12.04 LTS, Ubuntu 14.04 LTS
und Ubuntu 14.10. Die schwerwiegendste Schwachstelle CVE-2014-8159, zum
Erlangen von Administratorrechten, wird nur für Ubuntu 12.04 LTS, OMAP4
adressiert.
Patch:
Ubuntu Security Notice USN-2560-1 (Ubuntu 12.04 LTS)
http://www.ubuntu.com/usn/usn-2560-1/
Patch:
Ubuntu Security Notice USN-2561-1 (Ubuntu 12.04 LTS, OMAP4)
http://www.ubuntu.com/usn/usn-2561-1/
Patch:
Ubuntu Security Notice USN-2564-1 (Ubuntu 14.04 LTS, Utopic HWE)
http://www.ubuntu.com/usn/usn-2564-1/
Patch:
Ubuntu Security Notice USN-2565-1 (Ubuntu 14.10)
http://www.ubuntu.com/usn/usn-2565-1/
CVE-2015-2041: Linux-Kernel-Schwachstelle erlaubt das Ausspähen von
Informationen
Im Linux-Kernel besteht bei der Konfiguration des Benutzerraums der Link
Layer Control (LLC) eine Schwachstelle. Ein lokaler, einfach authentisierter
Angreifer kann Informationen über die sysctl-Settings ausspähen.
CVE-2015-2042: Schwachstelle in RDS Systemeinstellungen ermöglicht das
Manipulieren von Dateien
Eine Schwachstelle wurde in der Funktion zum Einstellen der Reliable
Datagram Sockets (RDS) Systemeinstellungen gefunden. Die Schwachstelle
ermöglicht es, mehrere RDS Einstellungen über sysctl mit speziell
formatierten Daten zu setzen. Außerdem ermöglicht sie das Lesen anderer
Systemeinstellungen aus sysctl. Allerdings haben die betroffenen
Systemeinstellungen die gleichen Berechtigungen, wie die gelesenen oder
geschriebenen Einstellungen. Ein lokaler Angreifer kann Daten auf eine nicht
vorhergesehene Art und Weise lesen oder schreiben.
CVE-2014-8159: Schwachstelle im Linux-Kernel erlaubt das Erlangen von
Administrationsrechten
Eine Schwachstelle im Infiniband-Subsystem des Linux-Kernels besteht darin,
dass Eingabeparameter bei der Registrierung von Speicherregionen vom
Benutzerbereich über die (u)verbs API nicht korrekt bereinigt werden. Ein
lokaler, nicht authentisierter Angreifer, der Zugriff auf ein
/dev/infiniband/uverbsX-Gerät hat, kann diese Schwachstelle ausnutzen, um
das System zum Absturz zu bringen oder möglicherweise seine Rechte auf dem
System zu erweitern.
CVE-2015-1593: Schwachstelle im Linux-Kernel ermöglicht das Umgehen von
Sicherheitsmaßnahmen
Durch eine Schwachstelle in der Initialisierung der Speicherverwürfelung von
64-Bit Prozessen wird der Stack mit 20 statt 22 Bits Entropie initialisiert.
Ein lokaler, nicht authentifizierter Angreifer kann durch das Ausnutzen der
Schwachstelle Sicherheitsmaßnahmen umgehen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0494/
Schwachstelle CVE-2015-1593 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1593
Schwachstelle CVE-2014-8159 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8159
Schwachstelle CVE-2015-2042 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2042
Ubuntu Security Notice USN-2560-1 (Ubuntu 12.04 LTS):
http://www.ubuntu.com/usn/usn-2560-1/
Ubuntu Security Notice USN-2561-1 (Ubuntu 12.04 LTS, OMAP4):
http://www.ubuntu.com/usn/usn-2561-1/
Ubuntu Security Notice USN-2564-1 (Ubuntu 14.04 LTS, Utopic HWE):
http://www.ubuntu.com/usn/usn-2564-1/
Ubuntu Security Notice USN-2565-1 (Ubuntu 14.10):
http://www.ubuntu.com/usn/usn-2565-1/
Schwachstelle CVE-2015-2041 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2041
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
