לפני כמה ימים Canonical פרסמה תיקון אבטחה המתקן בעיות אבטחה עם ליבת 18.04 LTS של אובונטו, מה שמשפיע על אובונטו ועל כל הנגזרות שלה כגון קובונטו, לובונטו, אובונטו GNOME, אובונטו בודגי, אובונטו קילין ואובונטו סטודיו, כמו גם מערכות צד שלישי אחרות המשתמשות באובונטו כבסיס.
נקודות תורפה אלה כוללות הצפת מאגר ו- הצפה אל מחוץ לתחום , כאשר תוקף מנצל תמונת EXT4 שנבנתה על מנת לבצע קוד שרירותי או כשל במערכת על ידי מניעת השירות.
על עדכון זה
בתיקון הזה בסך הכל 11 בעיות אבטחה מכוסות שנפתרו במהדורת עדכון הליבה הזו.
שביניהם יש לנו 7 נקודות תורפה כלולות (CVE-2018-10876, CVE-2018-10877, CVE-2018-10878, CVE-2018-10879, CVE-2018-10880, CVE- 2018- 10882 ו- CVE-2018-10883).
שבעה מהתיקונים עיין ביישום מערכת הקבצים ext4 של ליבת לינוקס הם התגלו על ידי חוקר האבטחה ון שו.
החוקרים אמרו כי:
פגמים אלה מתרחשים למשתמש לאחר השחרור ומפליגים על בעיות הצפת כתובות.
הפגיעות עשויות לאפשר ביצוע קוד שרירותי או אפילו לחסום את המערכת מפני התקפות של מניעת שירות על ידי ניצול תמונת ext4 שעוצבה במיוחד.
תמונה זו יכולה להיות מותקנת על מערכת פגיעה.
הבעיות בווירטואליזציה נמשכות
תיקון זה ששוחרר לליבת הלינוקס פותר גם את תנאי המרוץ המתוארים ב- CVE-2018-14625 נמצא ביישום ליבת VS של כתובת vsock
מה שיכול להוביל למצב שימוש לאחר שימוש המאפשר לתוקף מקומי לקבל את כל מה שהוא צריך כדי לחשוף מידע רגיש במחשב הווירטואלי האורח.
בעיות אבטחה אחרות שנפתרו באמצעות תיקון זה הן CVE-2018-16882 ו- CVE-2018-19407 המשפיעים על ביצוע KVM (מכונה וירטואלית מבוססת ליבה), שהתגלו על ידי CFIR כהן ווי וו.
שתי הבעיות הללו משפיעות על הטמעת מכונה וירטואלית מבוססת גרעין, שניתן לבצע במכונה הווירטואלית האורחת.
התוקף המקומי מקבל זכויות ניהול על המארח או גורם למערכת לקרוס.
יתר על כן עדכון האבטחה מתקן שתי נקודות תורפה ב- Google Project Zero (CVE-2018-17972 ו- CVE-2018-18281) ביישום הליבה של לינוקס של מערכת הקבצים procfs ושיחת המערכת mremap (), העלולה לגרום לתוקפים מקומיים לחשוף מידע רגיש של המערכת או לבצע קוד זדוני שרירותי.
Ca
עדכון האבטחה מטפל בשתי נקודות תורפה ביישום הליבה של לינוקס של מערכת הקבצים procfs וקריאת המערכת mremap () התגלה על ידי ג'אן הורן מ- Google Project Zero, שיכול לאפשר לתוקפים מקומיים לחשוף מידע רגיש או לבצע קוד שרירותי.
עדכון האבטחה מתקן גם בעיה CVE-2018-9516 שהתגלתה בממשק תת מערכת ניפוי הבאגים של ליבת הלינוקס.
ממשק זה אחראי לאיתור ביצועים שגויים של בדיקת מגבלות בתנאים מסוימים, ומאפשר לתוקף עם גישה לתוכנית השירות לאיתור באגים להשיג הרשאות נוספות או מניעת שירות.
הגיע הזמן לעדכן כן או כן
כמו כל פתרון שפורסם, חשוב ליישם אותו במערכות שלנו, ולכן מומלץ מאוד לעדכן את המערכת לאמת.
בדיוק כמו ש- Canonical מזמינה את כל משתמשי ה- Ubuntu 18.04 LTS (ביוניק ביבר) כדי לעדכן את ההתקנות שלך באופן מיידי לליבת הלינוקס 4.15.0-44.47.
ואילו עבור אובונטו 18.04.1 LTS ואילך משתמשים המשתמשים בסדרת הליבה 4.18 של לינוקס צריכים לשדרג לגרסה 4.18.0-14.15 ~ 18.04.1.
כיצד לעדכן?
כדי לעדכן את המערכת, פשוט פתח מסוף ובצע בו את הפקודות הבאות:
sudo apt update sudo apt full-upgrade
בתום ההורדה וההתקנה של העדכונים, מומלץ להפעיל מחדש את המחשב, איתו יוחלו כל השינויים החדשים בתחילת המערכת.