Před několika hodinami jsme publikovali článek o tom, co je známé jako Lockdown, nový modul zabezpečení, který bude dodáván s Linuxem 5.4. Mezi tím, co tento modul udělá, musíme pomoci vyhnout se provádění libovolného kódu. Příklad, který nejlépe vysvětluje jeho důležitost, přišel dnes Společnost Canonical opravila několik chyb zabezpečení a některé z nich lze použít ke spuštění libovolného kódu, což bude po vydání Linuxu 5.4 obtížnější.
Celkově byly opraveny 6 zranitelností shromážděny ve třech zprávách: USN-4142-1 který ovlivňuje Ubuntu 19.04, Ubuntu 18.04 a Ubuntu 16.04, USN-4142-2 který je stejný jako ten předchozí, ale zaměřil se na Ubuntu 14.04 a Ubuntu 12.04 (oba ve verzích ESM) a USN-4143-1, což ovlivňuje tři verze, které stále mají oficiální podporu. Všechny chyby zabezpečení byly označeny jako střední naléhavost.
Šest zranitelností, které vysvětlují, proč nám na Lockdownu záleží
Opravené chyby zabezpečení byly následující:
- CVE-2019-5094: Ve funkci souboru kvót E2fsprogs 1.45.3 existuje chyba zabezpečení umožňující spuštění kódu. Speciálně vytvořený oddíl ext4 může způsobit nadlimitní zápis do haldy, což má za následek spuštění kódu. Útočník Tuto chybu zabezpečení můžete aktivovat poškozením oddílu.
- CVE-2017-2888: Při vytváření nového existuje chyba zabezpečení týkající se přetečení celého čísla Povrch RGB v SDL 2.0.5. Speciálně vytvořený soubor může způsobit celé číslo přetečení, které má za následek příliš málo přidělené paměti, což může vést k a Přetečení vyrovnávací paměti a potenciální spuštění kódu. Útočník může poskytnout a Soubor obrázku speciálně navržený ke spuštění této chyby zabezpečení.
- CVE-2019-7635, CVE-2019-7636, CVE-2019-7637 y CVE-2019-7638: SDL (Simple DirectMedia Layer) až 1.2.15 a 2.x až 2.0.9 má a lBlit1to4 založené nadměrné ukládání do vyrovnávací paměti ve videu / SDL_blit_1.c, SDL_GetRGB ve videu / SDL_pixels.c, SDL_FillRect ve videu / SDL_surface.c a Map1toN ve videu / SDL_pixels.c.
První z výše uvedených také ovlivňuje Ubuntu 19.10 Eoan Ermine, takže brzy vydají opravy pro verzi, která bude vydána 17. října. Po instalaci aktualizací se změny projeví až po restartování počítače. A i když nejde o vážná selhání, Lockdown„Budeme na vás čekat.