As falhas de segurança no Linux geralmente são poucas e raras, mas o patch recém lançado pela Canonical mostra que nem sempre é esse o caso. A empresa dirigida por Mark Shuttleworth lançou uma atualização de kernel para Ubuntu 16.04 LTS (Xenial Xerus) que corrige até cinco bugs descobertos por vários pesquisadores de segurança no kernel 4.4, um kernel que está presente no sistema operacional que a Canonical lançou há 3 anos, em abril de 2016. Todas as versões baseadas no Ubuntu também são afetadas por esse uso o mesmo kernel.
A correção já está presente no Linux 4.15 HWE que inclui o Ubuntu 18.04 LTS, portanto, outras versões do ciclo de vida de 9 meses, ou seja, não-LTS, também parecem ser afetadas. A questão é que a Canonical só disponibilizou essa atualização para usuários cujo sistema operacional está comprometido e que ainda contam com suporte oficial. Ubuntu 14.04 terá suporte até 30 de abril, mas seu kernel não é afetado pelo 5 falhas mencionado neste artigo.
A atualização do kernel do Ubuntu 16.04 corrige 5 bugs de segurança
Os cinco bugs corrigidos são:
- El CVE-2017-18241- A implementação do sistema de arquivos F2FS falhou ao manipular incorretamente a opção de montagem noflush_merge.
- CVE-2018-7740: relacionado ao erro anterior, mas neste caso em múltiplas sobrecargas na implementação enorme lbfs. Este e o bug anterior podem permitir que um usuário mal-intencionado local explore a vulnerabilidade por meio de negação de serviço.
- El CVE-2018-1120 foi descoberto no sistema de arquivos procf e permitiu que um usuário mal-intencionado local bloqueasse certas ferramentas usadas para examinar o sistema de arquivos procf para relatar o status do sistema operacional porque ele falhou em gerenciar corretamente os processos de mapeamento nos elementos de memória.
- CVE-2019-6133 permitiu que um usuário mal-intencionado local obtivesse acesso aos serviços que armazenavam autorizações.
- CVE-2018-19985 pode permitir que um invasor fisicamente próximo cause uma falha no sistema.
Canônico recomenda que todos os usuários afetados atualizem o mais rápido possível para a versão do kernel 4.4 que já está disponível nos repositórios oficiais. Pessoalmente, considerando que todas as falhas devem ser exploradas por um invasor local, eu atualizaria em breve, mas também não me preocuparia muito. E você?