Muutama tunti sitten julkaisimme artikkelin, joka puhui ns Lockdown, uusi suojausmoduuli, joka saapuu Linux 5.4: n mukana. Tämän moduulin tehtävien joukossa meidän on autettava välttämään mielivaltaisen koodin suorittaminen. Sen tärkeyden parhaiten selittävä esimerkki on tullut tänään Canonical on korjannut useita haavoittuvuuksia ja joitain niistä voitaisiin käyttää mielivaltaisen koodin suorittamiseen, mikä on vaikeampi Linux 5.4: n julkaisun jälkeen.
Yhteensä ne on korjattu 6 haavoittuvuutta kerätty kolmeen raporttiin: USN-4142-1 joka vaikuttaa Ubuntu 19.04, Ubuntu 18.04 ja Ubuntu 16.04, USN-4142-2 joka on sama kuin edellinen, mutta keskittyi Ubuntu 14.04: een ja Ubuntu 12.04: iin (molemmat ESM-versioissa) ja USN-4143-1, joka vaikuttaa kolmeen versioon, jotka nauttivat edelleen virallisesta tuesta. Kaikki haavoittuvuudet on merkitty kiireellisiksi.
Kuusi haavoittuvuutta, jotka selittävät, miksi välitämme Lockdownista
Korjatut haavoittuvuudet ovat olleet seuraavat:
- CVE-2019-5094: E2fsprogs 1.45.3 -kiintiötiedostotoiminnoissa on hyödynnettävä koodin suorittamisen haavoittuvuus. Erityisesti muotoiltu ext4-osio voi aiheuttaa rajojen ulkopuolisen kirjoituksen kasaan, mikä johtaa koodin suorittamiseen. Hyökkääjä Voit vahingoittaa osiota aktivoidaksesi tämän haavoittuvuuden.
- CVE-2017-2888: Uutta luodessa on hyödynnettävissä oleva kokonaisluvun ylivuoto RGB-pinta SDL 2.0.5: ssä. Erityisesti muotoiltu tiedosto voi aiheuttaa kokonaisluvun ylivuoto johtaa liian vähäiseen muistiin, mikä voi johtaa a Puskurin ylivuoto ja mahdollinen koodin suorittaminen. Hyökkääjä voi tarjota a Kuvatiedosto, joka on erityisesti suunniteltu käynnistämään tämä haavoittuvuus.
- CVE-2019-7635, CVE-2019-7636, CVE-2019-7637 y CVE-2019-7638: SDL (Simple DirectMedia Layer) -versioon asti 1.2.15 ja 2.x asti 2.0.9 on a lBlit1to4-pohjainen ylipuskurointi videoissa / SDL_blit_1.c, SDL_GetRGB videoissa / SDL_pixels.c, SDL_FillRect videoissa / SDL_surface.c ja Map1toN videoissa / SDL_pixels.c.
Ensimmäinen yllä mainituista vaikuttaa myös Ubuntu 19.10 Eoan Ermineen, joten korjaustiedostot julkaistaan pian versiolle, joka julkaistaan 17. lokakuuta. Kun päivitykset on asennettu, sinun on käynnistettävä tietokone uudelleen, jotta muutokset tulevat voimaan. Ja vaikka ne eivät olekaan vakavia epäonnistumisia, Lockdown, Odotamme sinua.