For noen timer siden publiserte vi en artikkel som snakket om det som er kjent som Lockdown, en ny sikkerhetsmodul som kommer med Linux 5.4. Blant hva denne modulen vil gjøre, må vi bidra til å unngå utførelse av vilkårlig kode. Eksemplet som best forklarer dens betydning har kommet i dag, siden Canonical har løst flere sårbarheter og noen av dem kan brukes til å utføre vilkårlig kode, noe som vil være vanskeligere etter utgivelsen av Linux 5.4.
Totalt er de blitt rettet 6 sårbarheter samlet i tre rapporter: USN-4142-1 som påvirker Ubuntu 19.04, Ubuntu 18.04 og Ubuntu 16.04, den USN-4142-2 som er den samme som den forrige, men fokusert på Ubuntu 14.04 og Ubuntu 12.04 (begge i ESM-versjoner) og USN-4143-1, som påvirker de tre versjonene som fremdeles har offisiell støtte. Alle sårbarheter har blitt merket som medium haster.
Seks sårbarheter som forklarer hvorfor vi bryr oss om Lockdown
Sårbarhetene som er korrigert, har vært følgende:
- CVE-2019-5094: Det finnes et sikkerhetsproblem som kan utnyttes ved kodeutvikling i E2fsprogs 1.45.3-filfunksjonaliteten. En spesiallaget ext4-partisjon kan føre til at skrivingen er utenfor grensen til haugen, noe som resulterer i kodeutførelse. En angriper Du kan skade en partisjon for å aktivere dette sikkerhetsproblemet.
- CVE-2017-2888: Det finnes et utnyttbart sikkerhetsproblem med heltalloverløp når du oppretter et nytt RGB-overflate i SDL 2.0.5. En spesiallaget fil kan forårsake et heltall overflow resulterer i for lite minne tildelt som kan føre til a Bufferoverløp og potensiell kodeutførelse. En angriper kan gi en Bildefil spesielt designet for å utløse dette sikkerhetsproblemet.
- CVE-2019-7635, CVE-2019-7636, CVE-2019-7637 y CVE-2019-7638: SDL (Simple DirectMedia Layer) opp til 1.2.15 og 2.x opp til 2.0.9 har en lBlit1to4-basert overbuffering i video / SDL_blit_1.c, SDL_GetRGB i video / SDL_pixels.c, SDL_FillRect i video / SDL_surface.c og Map1toN i video / SDL_pixels.c.
Det første av ovenstående påvirker også Ubuntu 19.10 Eoan Ermine, så oppdateringer vil snart bli utgitt for versjonen som vil bli utgitt 17. oktober. Etter at oppdateringene er installert, må du starte datamaskinen på nytt for at endringene skal tre i kraft. Og selv om de ikke er alvorlige feil, Lockdown, Vi vil vente på deg.