जून में लिनक्स कर्नेल भेद्यता: futex सबसिस्टम। स्थानीय विशेषाधिकार वृद्धि की संभावना। CVE-2014-3153

गर्मियां शुरू हो गईं। हाल ही में, हमने CVE-2014-0196 को निर्धारित किया, जो आपको एक स्थानीय रूट प्राप्त करने की अनुमति देता है, क्योंकि एक और समान स्थानीय भेद्यता आ रही है: CVE-2014-3153। और यद्यपि अभी तक कोई सार्वजनिक शोषण नहीं हुआ है, सभी संबंधित कर्नेल संस्करण प्रभावित हैं: 2.6.32 से 3.14.5 तक।

जेंटोस के लिए ध्यान दें: CVE-2014-0196 के विपरीत, कठोर गुठली भी प्रभावित होती है।



यहाँ मेलिंग सूची से मूल समाचार पत्र का अनुवाद है:

पिंकी पाई (जैसा कि मैं इसे समझती हूं, कुछ प्रकार के मजबूत सुरक्षा शोधकर्ता माई लिटिल पोनी - अनुवादक के नोट के एक चरित्र के उपनाम के तहत छिपे हुए हैं ) ने फ्यूटेक्स सबसिस्टम में एक समस्या की खोज की, जो स्थानीय उपयोगकर्ता को फ्यूटेक्स सिस्टम कॉल के माध्यम से रिंग 0 का नियंत्रण हासिल करने की अनुमति देता है। एक अनपेक्षित उपयोगकर्ता कर्नेल को क्रैश करने के लिए इस भेद्यता का उपयोग कर सकता है (सेवा से इनकार (DoS)) या विशेषाधिकार वृद्धि।

मूल पैच भेद्यता को ठीक करता है।



अपडेट सभी स्थिर कर्नेल शाखाओं के लिए उपलब्ध हैं।



जैसा कि वे कहते हैं, भेद्यता विशेष रूप से "अच्छी" है कि फ़्यूटेक्स सबसिस्टम लिनक्स में "सैंडबॉक्स" के सभी प्रकारों में उपलब्ध है, जो उपयोग करते हैं, उदाहरण के लिए, क्रोमियम, टोर और ओपनएसएसएच।



अपने सहयोगियों को ताज़ा करें, शोषण के प्रकट होने की प्रतीक्षा न करें।



बगड़ू में बग सही संस्करण: sys-k गिरी / जेंटू-स्रोत- {3.10.41,3.12.21} -r1, कठोर-स्रोत-3.14.5-r2, कठोर-स्रोत-3.2.59-r5



डेबियन मट्ठा में तय की । सही संस्करण: 3.2.57-3 + deb7u2। अन्य डेबियन संस्करणों के लिए एक फिक्स बाद में उपलब्ध होगा।



Ubuntu में तय किया । भरोसेमंद संस्करण के लिए 3.13.0-29.53।



आर्क लिनक्स धीमा है ।