Liebes Linux-Magazin-Team,

bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.

Historie:

Version 2 (17.06.24):
Canonical stellt für Ubuntu 22.04 LTS Sicherheitsupdates für die Linux-
Kernel für Microsoft Azure Cloud Systeme (linux-azure) und Microsoft Azure
CVM Cloud Systeme (linux-azure-fde) bereit, um die Schwachstellen zu
adressieren.
Version 1 (12.06.24):
Neues Advisory

Ein Angreifer kann mehrere Schwachstellen lokal ausnutzen, um beliebigen
Programmcode auszuführen und Denial-of-Service (DoS)-Angriffe durchzuführen.

Für die Ausnutzung der meisten Schwachstellen sind übliche Privilegien
erforderlich. Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss
auf andere Komponenten haben.

Canonical stellt für Ubuntu 22.04 LTS und Ubuntu 20.04 LTS
Sicherheitsupdates für den Linux-Kernel (linux) sowie die Kernel für Google
Cloud Platform (GCP) Systeme (linux-gcp, linux-gcp-5.15), den Linux Low
Latency Kernel (linux-lowlatency, linux-lowlatency-5.15), Xilinx ZynqMP
Prozessoren (linux-xilinx-zynqmp) und NVIDIA Systeme (linux-nvidia) bereit,
um die Schwachstellen zu beheben.

Desweiteren stehen Sicherheitsupdates für die Linux-Kernel für Google
Container Engine (GKE) Systeme (linux-gkeop, linux-gkeop-5.15), Cloud-
Umgebungen (linux-kvm) und Amazon Web Services (AWS ) Systeme (linux-aws,
inux-aws-5.15) bereit, um die Schwachstellen zu beheben, hier aber nicht die
Schwachstelle CVE-2024-21823 einschließend.

Darüber hinaus stehen für Ubuntu 22.04 LTS Sicherheitsupdates für die Kernel
für Google Container Engine (GKE) Systeme (linux-gke), IBM Cloud-Systeme
(linux-ibm), Intel IoT Plattformen (linux-intel-iotg) sowie Oracle Cloud-
Systeme (linux-oracle) bereit, um die referenzierten Schwachstellen zu
beheben, aber ebenfalls nicht die Schwachstelle CVE-2024-21823
einschließend.

Die detaillierte Beschreibung einzelner hier referenzierter Schwachstellen
erfolgte entsprechend den von Canonical veröffentlichten Ubuntu Security
Notices USN-6820-1 und USN-6821-1.

Aufgrund der Umstrukturierung der CVE-Vergabe im Linux-Kernel gibt es ein
stark erhöhtes Aufkommen von Schwachstellen im Linux-Kernel. Dies liegt
daran, dass wesentlich mehr Patches als Schwachstellen registriert werden
und bedeutet nicht, dass der Kernel tatsächlich angreifbarer wurde. In den
Schwachstelleninformationen des DFN-CERT werden deshalb bei umfangreicheren
Kernel-Updates wie diesem nur noch Schwachstellen berücksichtigt, bei denen
die Patchbeschreibung eine erhöhte Sicherheitsrelevanz nahelegt.
Insbesondere werden Programmfehler ohne klar erkennbare Sicherheitsrelevanz
und lediglich lokal ausnutzbare Denial-of-Service (DoS)-Schwachstellen nicht
mehr von uns beschrieben. Die Einträge bei NIST zu allen Schwachstellen
finden Sie weiterhin als “Zusätzliche Information” in den Referenzen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2024-1496]

Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team

—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html