Эксплоиты уязвимостей ядра: обновитесь как можно скорее!

В прошлые выходные было сообщено о двух значительных уязвимостях в ядре Linux. Обе уязвимости имеют равное влияние (позволяют локальному непривилегированному пользователю получить привилегии учётной записи root) и обе существуют внутри системного вызова vmsplice(), который был добавлен в ядро версии 2.6.17. Возможности исключить vmsplice() посредством конфигурации ядра не существует, так что все уязвимы.

Одна уязвимость присутствовала с момента появления vmsplice(), так что все ядра начиная с версии 2.6.17 и далее уязвимы. Она была исправлена в версиях 2.6.24.2, 2.6.23.16 и 2.6.22.18. Ей был присвоен идентификатор CVE-2008-0600.

Другая уязвимость впервые появилась в ядре 2.6.23. Она была исправлена в версиях 2.6.23.15 и 2.6.24.1. Этой уязвимости был присвоены идентификаторы CVE-2008-0009 и CVE-2008-0010.

В понедельник в дерево были добавлены gentoo-sources-2.6.23-r8 и gentoo-sources-2.6.24-r2, которые включают исправления для обеих уязвимостей. Установите обновлённую версию gentoo-sources как можно скорее.

Gentoo не выпускает GLSA для ядер из-за огромного количества работы необходимой, чтобы отслеживать 18 существующих ядер и доступные версии каждого из них. Если вы хотите это изменить, свяжитесь с нашей командой безопасности.

Обновление до безопасного ядра

На стабильных системах выполните
# emerge =gentoo-sources-2.6.23-r8

Если вы используете ~arch, выполните
# emerge =gentoo-sources-2.6.24-r2

Обсудить (на англ. языке)!

Daniel Drake и Tobias Scherbaum написали черновик этого объявления. Doug Klima обратил внимание на то, что ядро версии 2.6.23, будучи стабильным, должно использоваться по умолчанию. Donnie Berkholz опубликовал это объявление на www.gentoo.org 13 января 2008. Пётр Волков перевёл и опубликовал на www.gentoo.ru.