Les failles de sécurité sous Linux sont généralement rares, mais le correctif que vient de publier Canonical montre que ce n'est pas toujours le cas. L'entreprise dirigée par Mark Shuttleworth a publié une mise à jour du noyau pour Ubuntu 16.04 LTS (Xenial Xerus) qui corrige jusqu'à cinq bogues découverts par divers chercheurs en sécurité dans le noyau 4.4, un noyau présent dans le système d'exploitation que Canonical a publié il y a 3 ans, en avril 2016. Toutes les versions basées sur Ubuntu sont également concernées et utilisent le même noyau.
Le correctif est déjà présent dans le Linux 4.15 HWE qui inclut Ubuntu 18.04 LTS, donc d'autres versions de cycle de vie de 9 mois, c'est-à-dire non-LTS, semblent également être affectées. Le fait est que Canonical a uniquement mis cette mise à jour à la disposition des utilisateurs dont le système d'exploitation est compromis et qui bénéficient toujours de l'assistance officielle. Ubuntu 14.04 bénéficiera du support jusqu'au 30 avril mais son noyau n'est pas affecté par la 5 défauts mentionné dans cet article.
La mise à jour du noyau Ubuntu 16.04 corrige 5 bogues de sécurité
Les cinq bogues corrigés sont:
- El CVE-2017-18241- La mise en œuvre du système de fichiers F2FS a échoué dans la gestion incorrecte de l'option de montage noflush_merge.
- CVE-2018-7740: lié à l'erreur précédente, mais dans ce cas en plusieurs surcharges dans l'implémentation énormetlbfs. Ce bogue et le précédent pourraient permettre à un utilisateur malveillant local d'exploiter la vulnérabilité par déni de service.
- El CVE-2018-1120 a été découvert dans le système de fichiers procfs et a permis à un utilisateur malveillant local de bloquer certains outils utilisés pour examiner le système de fichiers procfs pour signaler l'état du système d'exploitation car il n'a pas réussi à gérer correctement les processus de mappage dans les éléments de mémoire.
- CVE-2019-6133 il permettait à un utilisateur local malveillant d'accéder à des services qui stockaient des autorisations.
- CVE-2018-19985 cela pourrait permettre à un attaquant physiquement proche de provoquer une panne du système.
Canonique recommande à tous les utilisateurs concernés de mettre à jour dès que possible à la version 4.4 du noyau qui est déjà disponible dans les dépôts officiels. Personnellement, considérant que tous les bugs devraient être exploités par un attaquant local, je mettrais à jour bientôt, mais je ne m'inquiéterais pas trop non plus. Et toi?