Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS : Linux カーネルの脆弱性 (USN-6740-1)
high Nessus プラグイン ID 193593
Language:
概要
リモート Ubuntu ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの Ubuntu 14.04LTS/16.04 LTS/18.04 LTS ホストには、USN-6740-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- Linux カーネルで、con が割り当てられ、con->sock が設定されているデータ競合の欠陥が見つかりました。この問題により、Linux カーネルの tipc プロトコルの net/tipc/topsrv.c で con->sock->sk にアクセスする際に、NULL ポインターデリファレンスが発生します。(CVE-2023-1382)
- 二重 fget による、Linux カーネルの virtio ネットワークサブコンポーネントの drivers/vhost/net.c の vhost_net_set_backend にメモリ解放後使用 (use-after-free) の欠陥が見つかりました。この欠陥により、ローカルの攻撃者がシステムをクラッシュさせたり、カーネル情報の漏洩問題を引き起こしたりさえする可能性があります。(CVE-2023-1838)
- Linux カーネルでは、prctl を PR_SET_SPECULATION_CTRL で呼び出して投機機能を無効にするとともに、seccomp を使用することで、ユーザー空間プロセスが緩和を有効にできるようにします。少なくとも 1 つの主要なクラウドプロバイダーの VM では、prctl で spectre-BTI 緩和を有効にした後でも、カーネルが被害者のプロセスを攻撃にさらしたままであることがわかりました。起動コマンドラインで強制的に IBRS を緩和させると、ベアメタルマシンでも同じ動作が観察される可能性があります。これは、プレーン IBRS が有効な場合 (拡張 IBRS ではなく) に、カーネルに STIBP が不要であると判断するロジックがあるために発生しました。IBRS ビットは、クロススレッドブランチターゲットインジェクションから暗黙的に保護します。
ただし、レガシー IBRS では、パフォーマンス上の理由から、ユーザー空間に戻るときに IBRS ビットがクリアされていました。これにより、暗黙的な STIBP が無効になり、ユーザー空間のスレッドが、STIBP が保護するクロススレッドブランチターゲットインジェクションに対して脆弱になっていました。(CVE-2023-1998)
- Bluetooth Core Specification 4.2 から 5.4 を介して Secure Simple Pairing および Secure Connections ペアリングを使用する Bluetooth BR/EDR デバイスは、特定の中間者攻撃を許可します。これにより、短いキー長が強制され、暗号化キーの検出やライブインジェクションが発生する可能性があります。これは、BLUFFS としても知られています。(CVE-2023-24023)
- 6.4.5 より前の Linux カーネルでは、非ブロッキングアトミックコミットとドライバーアンロードの間の競合状態の間、drivers/gpu/drm/drm_atomic.c にメモリ解放後使用 (Use After Free) があります。(CVE-2023-51043)
- 6.6.8 までの Linux カーネルの net/bluetooth/af_bluetooth.c の bt_sock_recvmsg には、bt_sock_ioctl の競合状態によるメモリ解放後使用 (Use After Free) があります。(CVE-2023-51779)
- 6.7.4 までの Linux カーネルの drivers/md/dm-table.c 内の dm_table_create は、dm_ioctl.target_count 構造のチェックがないため、(alloc_targets で) INT_MAX バイトを超えて割り当てようとして、クラッシュする可能性があります。(CVE-2023-52429)
- Linux カーネルでは、次の脆弱性が解決されています。メディア: pvrusb2: コンテキスト切断時のメモリ解放後使用 (Use After Free) を修正します。モジュールがロードされると、pvr2_context_thread_func 関数をターゲットとする kthread が作成されます。これにより、pvr2_context_destroy を呼び出し、コンテキストオブジェクトで kfree() を呼び出す可能性があります。ただし、これは usb hub_event ハンドラーがドライバーに通知できるようになる前に発生する可能性があります。このパッチは、syzbot により報告される無効な読み取りの前に、コンテキスト切断コールスタック内でのサニティチェックを追加します。(CVE-2023-52445)
- Linux カーネルで、次の脆弱性が解決されています。powerpc/pseries/memhp: drmem 配列の終端を超えたアクセスを修正します。LMB 検索が特定の DRC インデックスによるエントリと一致しない場合、dlpar_memory_remove_by_index() が drmem lmb 配列の境界を超えてアクセスする可能性があります。検索が失敗すると、カーソルは &drmem_info->lmbs[drmem_info->n_lmbs] を指したままになります。これは、配列の最後の有効なエントリの後の 1 要素です。関数の末尾にあるデバッグメッセージは、このポインターを逆参照します。
pr_debug(%llx\n、lmb->base_addr でメモリをホットリムーブすることに失敗しました)。これは、検査の結果見つかり、KASAN で確認されました。pseries-hotplug-mem: LMB をホットリムーブしようとします、drc index 1234 ================================================================== BUG: KASAN: dlpar_memory+0x298/0x1658 の slab-out-of-bounds タスク bash/949 dump_stack_lvl+0xa4/0xfc (信頼できない) による addr c000000364e97fd0 でのサイズ 8 の読み取り
__asan_load8+0xa8/0xe0 dlpar_memory+0x298/0x1658 handle_dlpar_errorlog+0x130/0x1d0 dlpar_store+0x18c/0x3e0 kobj_attr_store+0x68/0xa0 sysfs_kf_write+0xc4/0x110 kernfs_fop_write_iter+0x26c/0x390 vfs_write+0x2d4/0x4e0 ksys_write+0xac/0x1a0 system_call_exception+0x268/0x530 system_call_vectored_common+0x15c/0x2ec Allocated by task 1: kasan_save_stack+0x48/0x80 kasan_set_track+0x34/0x50 kasan_save_alloc_info+0x34/0x50 __kasan_kmalloc+0xd0/0x120 __kmalloc+0x8c/0x320 kmalloc_array.constprop.0+0x48/0x5c drmem_init+0x2a0/0x41c do_one_initcall+0xe0/0x5c0 kernel_init_freeable+0x4ec/0x5a0 kernel_init+0x30/0x1e0 ret_from_kernel_user_thread+0x14/0x1c バグのあるアドレスは、13kloc のサイズ 131072 のキャッシュ kmalloc-128k に属する c000000364e80000 のオブジェクトに属します。バグのあるアドレスは、割り当てられた 98256 バイトの領域[c000000364e80000、c000000364e97fd0) の右の 0 バイトに配置されています ================================================================== pseries-hotplug-mem:
0 でメモリをホットリムーブするのに失敗しました。失敗した検索を別のメッセージでログし、有効なエントリを指している場合にのみカーソルをデリファレンスします。(CVE-2023-52451)
- Linux カーネルで、次の脆弱性が解決されています。EDAC/thunderx: 領域外の文字列アクセスの可能性を修正します -Wstringop-overflow をグローバルに有効にすると、strncat() の使用における一般的なバグの警告が表示されます。drivers/edac/thunderx_edac.c: 「thunderx_ocx_com_threaded_isr」関数内:
drivers/edac/thunderx_edac.c:1136:17: error: 'strncat' specified bound 1024 equals destination size [-Werror=stringop-overflow=] 1136 | strncat(msg, other, OCX_MESSAGE_SIZE); | ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ... 1145 | strncat(msg, other, OCX_MESSAGE_SIZE); ... 1150 | strncat(msg, other, OCX_MESSAGE_SIZE); ... 明らかに、このドライバーの作成者は、strncat() が strlcat() と同じように動作することを期待していました。これは、ソースバッファの長さではなく、宛先バッファのサイズを 3 番目の引数として使用します。その結果、割り当てられたバッファのサイズはチェックされません。これを strlcat() に変更します。[ bp: コンパイラ出力をトリミングし、コミットメッセージを修正。] (CVE-2023-52464)
- Linux カーネルでは、以下の脆弱性が解決されています。jfs: jfs_evict_inode の uaf を修正します diMount(ipimap) の実行が失敗したときに、リリースされた ipimap のオブジェクトが、diFreeSpecial() でアクセスされる可能性があります。rcu_core() が jfs_free_node() を呼び出す際に、非同期の ipimap リリースが発生します。したがって、diMount(ipimap) が失敗した場合、sbi->ipimap は ipimap として初期化されるべきではありません。(CVE-2023-52600)
- Linux カーネルにおいて、以下の脆弱性は解決されています。UBSAN: dtSplitRoot 内の array-index-out-of-bounds Syzkaller は、次の問題を報告しました。oop0: 0 から 32768 への容量変更を検出しました UBSAN:
fs/jfs/jfs_dtree.c:1971:9 内の array-index-out-of-bounds index -2 はタイプ「struct dtslot [128]」の範囲外です CPU: 0 PID: 3613 Comm: syz-executor270 汚染なし 6.0.0-syzkaller-09423-g493ffd6605b2 #0 ハードウェア名: Google Google Compute Engine/Google Compute Engine、BIOS Google 09/22/2022 呼び出しトレース: <TASK>
__dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x1b1/0x28e lib/dump_stack.c:106 ubsan_epilogue lib/ubsan.c:151 [inline] __ubsan_handle_out_of_bounds+0xdb/0x130 lib/ubsan.c:283 dtSplitRoot+0x8d8/0x1900 fs/jfs/jfs_dtree.c:1971 dtSplitUp fs/jfs/jfs_dtree.c:985 [inline] dtInsert+0x1189/0x6b80 fs/jfs/jfs_dtree.c:863 jfs_mkdir+0x757/0xb00 fs/jfs/namei.c:270 vfs_mkdir+0x3b3/0x590 fs/namei.c:4013 do_mkdirat+0x279/0x550 fs/namei.c:4038 __do_sys_mkdirat fs/namei.c:4053 [inline] __se_sys_mkdirat fs/namei.c:4051 [inline] __x64_sys_mkdirat+0x85/0x90 fs/namei.c:4051 do_syscall_x64 arch/x86/entry/common.c:50 [inline] do_syscall_64+0x3d/0xb0 arch/x86/entry/common.c:80 entry_SYSCALL_64_after_hwframe+0x63/0xcd RIP: 0033:0x7fcdc0113fd9 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 c0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffeb8bc67d8 EFLAGS: 00000246 ORIG_RAX: 0000000000000102 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007fcdc0113fd9 RDX:
0000000000000000 RSI: 0000000020000340 RDI: 0000000000000003 RBP: 00007fcdc00d37a0 R08: 0000000000000000 R09: 00007fcdc00d37a0 R10: 00005555559a72c0 R11: 0000000000000246 R12: 00000000f8008000 R13:
0000000000000000 R14: 00083878000000f8 R15: 0000000000000000 </TASK> この問題は、fsi の値が -1 未満になると発生します。fsi 値が -1 になったときにループをブレークするためのチェックが存在しますが、syzbot が -1 未満の値を生成することができたため、エラーが発生します。このパッチは、単に 0 未満の値の変更を追加するだけです。パッチは syzbot を介してテストされています。(CVE-2023-52603)
- Linux カーネルの ida_free in lib/idr.c に、NULL ポインターデリファレンスの問題が見つかりました。この問題により関数の戻り値でチェックが行われないため、このライブラリを使用する攻撃者がサービス拒否の問題を引き起こす可能性があります。(CVE-2023-6915)
- Linux カーネルの SCTP サブシステムにある net/sctp/socket.c の sctp_auto_asconf_init に、デッドロックによるサービス拒否の脆弱性が見つかりました。この欠陥により、ローカルユーザー権限を持つゲストがデッドロックを発生させ、システムをクラッシュさせる可能性があります。(CVE-2024-0639)
- 6.7.1 までの Linux カーネルの drivers/md/dm-ioctl.c の copy_params は、param_kernel->data_size チェックがないため、INT_MAX バイトを超える割り当てを試みてクラッシュする可能性があります。これは、ctl_ioctl に関連しています。(CVE-2024-23851)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるカーネルパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 193593
ファイル名: ubuntu_USN-6740-1.nasl
バージョン: 1.0
タイプ: local
エージェント: unix
ファミリー: Ubuntu Local Security Checks
公開日: 2024/4/19
更新日: 2024/4/19
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5.3
ベクトル: CVSS2#AV:L/AC:L/Au:S/C:C/I:C/A:C
CVSS スコアのソース: CVE-2023-52464
CVSS v3
リスクファクター: High
基本値: 7.8
現状値: 7
ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:canonical:ubuntu_linux:14.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:linux-image-4.15.0-1130-oracle, p-cpe:/a:canonical:ubuntu_linux:linux-image-4.15.0-1151-kvm, p-cpe:/a:canonical:ubuntu_linux:linux-image-4.15.0-1161-gcp, p-cpe:/a:canonical:ubuntu_linux:linux-image-4.15.0-1167-aws, p-cpe:/a:canonical:ubuntu_linux:linux-image-4.15.0-1176-azure, p-cpe:/a:canonical:ubuntu_linux:linux-image-4.15.0-224-generic, p-cpe:/a:canonical:ubuntu_linux:linux-image-4.15.0-224-lowlatency
必要な KB アイテム: Host/cpu, Host/Ubuntu, Host/Ubuntu/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2024/4/19
脆弱性公開日: 2023/3/17
参照情報
CVE: CVE-2023-1382, CVE-2023-1838, CVE-2023-1998, CVE-2023-24023, CVE-2023-51043, CVE-2023-51779, CVE-2023-52429, CVE-2023-52445, CVE-2023-52451, CVE-2023-52464, CVE-2023-52600, CVE-2023-52603, CVE-2023-6915, CVE-2024-0639, CVE-2024-23851
USN: 6740-1