Sigurnosnih propusta u Linuxu često je malo, ali zakrpa koju je upravo izdao Canonical pokazuje da to nije uvijek slučaj. Tvrtka koju vodi Mark Shuttleworth je objavio ažuriranje jezgre za Ubuntu 16.04 LTS (Xenial Xerus) koji popravlja do pet grešaka koje su razni istraživači sigurnosti otkrili u jezgri 4.4, jezgri koja je prisutna u operativnom sustavu koji je Canonical objavio prije 3 godine, u travnju 2016. Također utječu na sve verzije temeljene na Ubuntuu isto jezgro.
Ispravak je već prisutan u Linuxu 4.15 HWE koji uključuje Ubuntu 18.04 LTS, pa se čini da su pogođena i druga 9-mjesečna izdanja životnog ciklusa, tj. Ne-LTS. Činjenica je da je Canonical ovo ažuriranje stavio na raspolaganje samo korisnicima čiji je operativni sustav ugrožen i koji još uvijek uživaju službenu podršku. Ubuntu 14.04 uživat će podršku do 30. travnja, ali na njegovu jezgru ne utječe 5 kvara spomenuto u ovom članku.
Ažuriranje jezgre Ubuntu 16.04 ispravlja 5 sigurnosnih pogrešaka
Pet ispravljenih bugova su:
- El CVE-2017-18241- Implementacija F2FS datotečnog sustava nije uspjela pri pogrešnom rukovanju opcijom montiranja noflush_merge.
- CVE-2018-7740: vezano uz prethodnu pogrešku, ali u ovom slučaju u višestrukim preopterećenjima u implementaciji ogromantlbfs. Ova i prethodna programska pogreška mogla bi lokalnom zlonamjernom korisniku omogućiti da iskoristi ranjivost uskraćivanjem usluge.
- El CVE-2018-1120 je otkriven u datotečnom sustavu procfs i omogućio lokalnom zlonamjernom korisniku da blokira određene alate koji se koriste za ispitivanje datotečnog sustava procfs za izvještavanje o statusu operativnog sustava jer nije uspio pravilno upravljati procesima mapiranja u memorijskim elementima.
- CVE-2019-6133 lokalnom zlonamjernom korisniku omogućio je pristup uslugama koje pohranjuju autorizacije.
- CVE-2018-19985 mogao bi fizički bliskom napadaču omogućiti pad sustava.
Kanonski preporučuje svim pogođenim korisnicima ažuriranje što je prije moguće na verziju jezgre 4.4 koja je već dostupna u službenim spremištima. Osobno, s obzirom na to da bi sve bugove trebao iskoristiti lokalni napadač, uskoro bih ih ažurirao, ali ne bih se previše brinuo. A ti?