Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 7 (19.07.22):
Für Oracle Linux 9 (aarch64, x86_64) stehen erneut Sicherheitsupdates für
‘grub2’ zur Verfügung.
Version 6 (15.07.22):
Für Oracle Linux 8 (aarch64, x86_64) stehen weitere Aktualisierungen von
‘grub2’ als Sicherheitsupdates zur Verfügung.
Version 5 (05.07.22):
Für Oracle Linux 8 (aarch64, x86_64) stehen Aktualisierungen von ‘grub2’,
‘mokutil’, ‘shim’ und ‘shim-unsigned-x64’ als Sicherheitsupdates bereit,
mit denen die Schwachstellen adressiert werden.
Version 4 (04.07.22):
Für Oracle Linux 9 (aarch64, x86_64) stehen korrespondierende
Sicherheitsupdates für ‘grub2’ bereit, um die Schwachstellen zu beheben.
Version 3 (17.06.22):
Für Red Hat Enterprise Linux 8, 8.2 und 8.4 Extended Update Support sowie
Red Hat Enterprise Linux 9 stehen Sicherheitsupdates für ‘grub2’,
‘mokutil’, ‘shim’ und ‘shim-unsigned-x64’ bereit, mit denen die
Schwachstellen adressiert werden.
Version 2 (13.06.22):
Für SUSE Linux Enterprise Desktop, SUSE Linux Enterprise High Performance
Computing, SUSE Linux Enterprise Module for Basesystem, SUSE Linux
Enterprise Module for Server Applications und SUSE Linux Enterprise Server
jeweils in Version 15 SP4 sowie SUSE Linux Enterprise Module for SUSE
Manager Proxy 4.3, SUSE Manager Proxy 4.3 und openSUSE Leap 15.4 stehen
Sicherheitsupdates für ‘grub2’ bereit, um die Schwachstellen und weitere,
nicht sicherheitsrelevante Fehler zu beheben. Die Schwachstelle
CVE-2022-28737 in ‘shim’ wird nicht referenziert.
Version 1 (08.06.22):
Neues Advisory
Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um
beliebigen Programmcode auszuführen und einen Denial-of-Service
(DoS)-Angriff durchzuführen. Ein Angreifer kann mehrere Schwachstellen lokal
ausnutzen, um Daten zu manipulieren, Sicherheitsvorkehrungen zu umgehen und
beliebigen Programmcode auszuführen.
Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien
erforderlich. Die erfolgreiche Ausnutzung mehrerer Schwachstellen kann
Einfluss auf andere Komponenten haben.
Das GNU GRUB-Projekt stellt in einer Reihe von Quellcode-Patches
Sicherheitsupdates zur Verfügung, um die Schwachstellen zu beheben.
Für Fedora 35 und 36 stehen Sicherheitsupdates in Form der Pakete
‘grub2-2.06-11.fc35’ und ‘grub2-2.06-42.fc36’ im Status ‘testing’ bereit, um
die Schwachstellen zu beheben.
Für Oracle Linux 7 (x86_64) und Oracle Linux 8 (x86_64, aarch64) stehen
Sicherheitsupdates für ‘grub2’ zur Behebung der Schwachstellen bereit.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2022-1274]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
