Canonical publie de nombreuses mises à jour mineures du noyau Ubuntu pour corriger diverses failles de sécurité. Beaucoup de ces bogues apparaissent dans les versions non LTS du noyau, et c'est que Canonical publie des nouvelles au moins deux fois par an, en avril et octobre. Le système d'exploitation sur lequel il est basé est plus robuste, en partie parce qu'il introduit de nouvelles fonctionnalités plus lentement. Mais cela ne signifie pas qu'il est exempt de défauts et Debian lancé hier nouvelles versions du noyau pour votre système d'exploitation.
Debian 10 a été publié plus tôt ce mois-ci et vous avez déjà reçu votre première mise à jour de sécurité du noyau. Il s'agit d'un bug découvert par Jann Horn de Google Project Zero, une initiative de sécurité de la société de moteurs de recherche qui, honnêtement, je ne sais pas si elle est plus connue pour avoir aidé à trouver des failles de sécurité ou pour les publier devant les créateurs du le moteur de recherche, les logiciels en question ont corrigé le bogue. Dans tous les cas, la faille découverte par Horn a été cataloguée comme gravité élevée.
Debian 10 reçoit sa première mise à jour de sécurité du noyau
Le bogue corrigé par la nouvelle version du noyau est le CVE-2018-13272 et décrit un problème de sécurité qui «un attaquant local pourrait l'utiliser pour obtenir un accès super utilisateur (root) en tirant parti de certains scénarios avec une relation de processus parent-enfant, où le parent abandonne les privilèges et appelle execve (permettant potentiellement le contrôle d'un attaquant)«. Échec affecte Buster, Stretch et Jessie.
Les nouvelles versions du noyau sont 19.37-5 + deb10u1 dans «Buster», 4.9.168-1 + deb9u4 dans "Stretch" et 3.16.70-1 + deb8u1 Jessie. Debian version 10 inclut également un patch pour une régression introduite dans le patch d'origine pour la vulnérabilité CVE-2019-11478 dans la mise en œuvre de la file d'attente de retransmission TCP. Comme on peut s'y attendre sur un bogue de gravité critique, le projet Debian recommande la mise à jour dès que possible.