Varnostnih napak v Linuxu je običajno le malo, toda popravek, ki ga je pravkar izdal Canonical, kaže, da ni vedno tako. Podjetje, ki ga vodi Mark Shuttleworth je izdal posodobitev jedra za Ubuntu 16.04 LTS (Xenial Xerus), ki odpravi do pet napak, ki so jih odkrili različni raziskovalci varnosti v jedru 4.4, jedru, ki je prisotno v operacijskem sistemu, ki ga je Canonical izdal pred tremi leti, aprila 3. Prizadenejo tudi vse različice, ki temeljijo na Ubuntuju isto jedro.
Popravek je že prisoten v Linuxu 4.15 HWE, ki vključuje Ubuntu 18.04 LTS, zato se zdi, da so prizadete tudi druge 9-mesečne izdaje življenjskega cikla, tj. Bistvo je, da je Canonical to posodobitev dal na voljo samo uporabnikom, katerih operacijski sistem je ogrožen in še vedno uživajo uradno podporo. Ubuntu 14.04 bo imel podporo do 30. Aprila, vendar na njegovo jedro ne vpliva 5 napak omenjena v tem članku.
Ubuntu 16.04 Kernel Update Fixes 5 Security Bugs
Pet odpravljenih napak je:
- El CVE-2017-18241- Izvajanje datotečnega sistema F2FS ni uspelo pri napačnem ravnanju z možnostjo namestitve noflush_merge.
- CVE-2018-7740: povezano s prejšnjo napako, vendar v tem primeru z več preobremenitvami pri izvedbi ogromnitlbfs. Ta in prejšnja napaka bi lahko lokalnemu zlonamernemu uporabniku omogočila izkoriščanje ranljivosti z zavrnitvijo storitve.
- El CVE-2018-1120 je bil odkrit v datotečnem sistemu procfs in omogočil lokalnemu zlonamernemu uporabniku, da blokira nekatera orodja, ki se uporabljajo za pregledovanje datotečnega sistema procfs za poročanje o stanju operacijskega sistema, ker ni uspel pravilno upravljati procesov preslikave v pomnilniških elementih.
- CVE-2019-6133 lokalnemu zlonamernemu uporabniku je omogočil dostop do storitev, ki shranjujejo pooblastila.
- CVE-2018-19985 fizičnemu napadalcu lahko omogoči, da povzroči zrušitev sistema.
Canonical priporoča vsem prizadetim uporabnikom, naj čim prej posodobijo na različico jedra 4.4, ki je že na voljo v uradnih skladiščih. Osebno bi glede na to, da bi moral vse napake izkoristiti lokalni napadalec, kmalu posodobil, a tudi mene ne bi preveč skrbelo. In ti?