Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Linux-Kernel
Betroffene Plattformen:
Canonical Ubuntu Linux 12.04 Lts
Eine der Schwachstellen ermöglicht einem lokalen, authentisierten Benutzer,
als Angreifer, seine Privilegien zu erweitern, die andere erlaubt einem
nicht angemeldeten Angreifer im benachbarten Netzwerk die Durchführung von
Denial-of-Service-Angriffen. Canonical stellt für Ubuntu 12.04 LTS (OMAP4)
ein Sicherheitsupdate bereit.
Patch:
Ubuntu Security Notice USN-2612-1 (OMAP4)
http://www.ubuntu.com/usn/usn-2612-1/
CVE-2015-3339: Schwachstelle in execve des Linux-Kernels ermöglicht
Privilegieneskalation
Der Systemaufruf von “execve” kann mit dem Systemaufruf von “chown” in eine
Wettlaufsituation bei der Änderung von Inode-Attributen kommen. Obwohl
“chown” das setuid/setgid-Bit einer Datei bei der Änderung des Besitzers
löscht, kann die Wettlaufsituation darin resultieren, dass “execve” die
effektive Benutzer-/Gruppen-ID auf die ID des neuen Besitzers ändert. Ein
lokal angemeldeter Angreifer kann diese Schwachstelle ausnutzen, um seine
Rechte auszuweiten.
CVE-2014-9715: Schwachstelle im Linux-Kernel ermöglicht Denial-of-Service
Das “netfilter connection tracking”-Subsystem benutzt einen zu kleinen
Datentypen als Offset innerhalb der Datenstruktur für Verbindungen, was
unter bestimmten Umständen zu Speicherkorruption und damit zu einem
Systemabsturz führen kann. Abschalten lässt sich dieser Fehler mit “sysctl
net.netfilter.nf_conntrack_acct=0”. Ein im lokalen Netzwerk befindlicher,
nicht authentisierter Angreifer kann diese Schwachstelle ausnutzen, um über
das Senden einer Reihe von speziell präparierten Paketen das Laden einer
großen Anzahl von Erweiterungen zu initiieren und damit das Zielsystem zum
Absturz zu bringen (Denial-of-Service).
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0730/
Schwachstelle CVE-2014-9715 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9715
Schwachstelle CVE-2015-3339 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3339
Ubuntu Security Notice USN-2612-1 (OMAP4):
http://www.ubuntu.com/usn/usn-2612-1/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
