For et par timer siden offentliggjorde vi en artikel, der talte om, hvad der er kendt som Lockdown, et nyt sikkerhedsmodul, der ankommer med Linux 5.4. Blandt hvad dette modul vil gøre, er vi nødt til at hjælpe med at undgå udførelsen af vilkårlig kode. Eksemplet, der bedst forklarer dets betydning, er ankommet i dag siden Canonical har løst flere sårbarheder og nogle af dem kunne bruges til at udføre vilkårlig kode, noget der vil være sværere efter frigivelsen af Linux 5.4.
I alt er de blevet rettet 6 sårbarheder samlet i tre rapporter: USN-4142-1 der påvirker Ubuntu 19.04, Ubuntu 18.04 og Ubuntu 16.04, den USN-4142-2 hvilket er det samme som det foregående, men fokuseret på Ubuntu 14.04 og Ubuntu 12.04 (begge i ESM-versioner) og USN-4143-1, hvilket påvirker de tre versioner, der stadig nyder officiel support. Alle sårbarheder er blevet mærket som middel haster.
Seks sårbarheder, der forklarer, hvorfor vi holder af Lockdown
De korrigerede sårbarheder har været følgende:
- CVE-2019-5094: Der findes en sårbarhed, der kan udnyttes med kodeudførelse, i E2fsprogs 1.45.3-kvotefilfunktionaliteten. En specielt udformet ext4-partition kan forårsage en skrivning uden for grænsen til bunken, hvilket resulterer i kodeudførelse. En angriber Du kan beskadige en partition for at aktivere denne sårbarhed.
- CVE-2017-2888: Der findes en sårbarhed, der kan udnyttes i hele tal, når der oprettes et nyt RGB-overflade i SDL 2.0.5. En specielt udformet fil kan forårsage et heltal overflow resulterer i for lidt hukommelse allokeret, hvilket kan føre til en Bufferoverløb og mulig udførelse af kode. En angriber kan give en Billedfil specielt designet til at udløse denne sårbarhed.
- CVE-2019-7635, CVE-2019-7636, CVE-2019-7637 y CVE-2019-7638: SDL (Simple DirectMedia Layer) op til 1.2.15 og 2.x op til 2.0.9 har en lBlit1to4-baseret overbuffer-læsning i video / SDL_blit_1.c, SDL_GetRGB i video / SDL_pixels.c, SDL_FillRect i video / SDL_surface.c og Map1toN i video / SDL_pixels.c.
Det første af ovenstående påvirker også Ubuntu 19.10 Eoan Ermine, så de frigiver snart patches til den version, der frigives den 17. oktober. Når opdateringerne er installeret, skal du genstarte computeren, før ændringerne træder i kraft. Og selvom de ikke er alvorlige fiaskoer, LockdownVi venter på dig.