Prije nekoliko sati objavili smo članak koji govori o onome što je poznato kao Zaključavanje, novi sigurnosni modul koji će stići s Linuxom 5.4. Između onoga što će ovaj modul raditi, moramo pomoći u izbjegavanju izvršavanja proizvoljnog koda. Primjer koji najbolje objašnjava njegovu važnost stigao je danas od Canonical je otklonio nekoliko ranjivosti a neki od njih bi se mogli koristiti za izvršavanje proizvoljnog koda, što će biti teže nakon izlaska Linuxa 5.4.
Ukupno su ispravljeni 6 ranjivosti prikupljeni u tri izvještaja: USN-4142-1 koji utječe na Ubuntu 19.04, Ubuntu 18.04 i Ubuntu 16.04, USN-4142-2 koji je isti kao i prethodni, ali fokusiran je na Ubuntu 14.04 i Ubuntu 12.04 (oba u ESM verzijama) i USN-4143-1, što utiče na tri verzije koje i dalje uživaju službenu podršku. Sve ranjivosti označene su kao srednje hitne.
Šest ranjivosti koje objašnjavaju zašto nam je stalo do zaključavanja
Ispravljene ranjivosti su sljedeće:
- CVE-2019-5094: Ranjivost izvršenja koda koja se može iskoristiti postoji u funkcionalnosti datoteke kvote E2fsprogs 1.45.3. Specijalno izrađena ext4 particija može prouzročiti upisivanje u hrpu izvan granica, što rezultira izvršavanjem koda. Napadač Možete oštetiti particiju da biste aktivirali ovu ranjivost.
- CVE-2017-2888: Eksploatabilna ranjivost prekoračenja cijelog broja postoji prilikom kreiranja nove RGB površina u SDL 2.0.5. Posebno izrađena datoteka može uzrokovati cijeli broj preljev rezultira premalo dodijeljene memorije što može dovesti do a Prelijevanje međuspremnika i potencijalno izvršavanje koda. Napadač može pružiti a Datoteka slika posebno dizajnirana za pokretanje ove ranjivosti.
- CVE-2019-7635, CVE-2019-7636, CVE-2019-7637 y CVE-2019-7638: SDL (Simple DirectMedia Layer) do 1.2.15 i 2.x do 2.0.9 ima a lPrekomjerno baferiranje na temelju Blit1to4 u video / SDL_blit_1.c, SDL_GetRGB u video / SDL_pixels.c, SDL_FillRect u video / SDL_surface.c i Map1toN u video / SDL_pixels.c.
Prvo od navedenog također utječe na Ubuntu 19.10 Eoan Ermine, pa će zakrpe uskoro biti objavljene za verziju koja će biti objavljena 17. oktobra. Nakon instaliranja ispravki, morate ponovo pokrenuti računar da bi promjene stupile na snagu. I premda nisu ozbiljni neuspjesi, Zaključavanje, Čekat ćemo vas.