Debian DSA-2669-1：linux - 権限昇格/サービス拒否/情報漏洩

high Nessus プラグイン ID 66486

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Linux カーネルにいくつかの脆弱性が発見されました。これにより、サービス拒否、情報漏洩、または権限昇格を引き起こすことがあります。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2013-0160 vladz 氏は、/dev/ptmx キャラクターデバイスに関するタイミング漏洩を報告しました。ローカルユーザーは、これを利用して、パスワードの長さなどの機密情報を見つけ出す可能性があります。

- CVE-2013-1796 Google の Andrew Honig は、KVM サブシステムにある問題をレポートしました。ゲストオペレーティングシステムのユーザーがカーネルメモリを破損し、サービス拒否を引き起こす可能性があります。

- CVE-2013-1929 Oded Horovitz と Brad Spengler は、 Broadcom Tigon3 ベースのギガビットイーサネットのデバイスドライバーにある問題をレポートしました。信頼されないデバイスを接続することのできるユーザーは、オーバーフローの状態を引き起こし、サービス拒否または権限昇格を発生させることが可能です。

- CVE-2013-1979 Andy Lutomirski 氏は、ソケットレベルのコントロールメッセージ処理サブシステムに問題があることを報告しました。ローカルユーザーは、昇格した権限を取得できる可能性があります。

- CVE-2013-2015 Theodore Ts'o は、ext4 ファイルシステムにある問題に対する修正を提供しました。特別に細工されたファイルシステムをマウントできるローカルのユーザーは、サービス拒否（無限ループ）を引き起こすことが可能です。

- CVE-2013-2094 Tommie Rantala 氏は、perf サブシステムに問題があることを発見しました。領域外のアクセスの脆弱性により、ローカルユーザーは、昇格した権限を取得できます。

- CVE-2013-3076 Mathias Krause 氏は、ハッシュアルゴリズム用のユーザー空間インターフェイスに問題があることを発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3222 Mathias Krause は、非同期転送モード（ATM）プロトコルのサポートで問題を発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3223 Mathias Krause は、アマチュア無線 AX.25 プロトコルのサポートで問題を発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3224 Mathias Krause は、Bluetooth サブシステムで問題を発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3225 Mathias Krause は、Bluetooth RFCOMM プロトコルのサポートで問題を発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3227 Mathias Krause 氏は、Communication CPU to Application CPU Interface（CAIF）に問題があることを発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3228 Mathias Krause は、IrDA （赤外線）サブシステムで問題を発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3229 Mathias Krause は、s390 システムの IUCV サポートで問題を発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3231 Mathias Krause は、ANSI/IEEE 802.2 LLC type 2 プロトコルのサポートで問題を発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3234 Mathias Krause は、アマチュア無線 X.25 PLP（Rose）プロトコルのサポートで問題を発見しました。ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3235 Mathias Krause は、Transparent Inter Process Communication（TIPC）プロトコルのサポートで問題を発見しました。
ローカルのユーザーは機密のカーネルメモリにアクセスできるようになります。

- CVE-2013-3301 Namhyung Kim 氏は、追跡サブシステムに問題があることを報告しました。
権限のあるローカルユーザーは、サービス拒否（システムクラッシュ）を引き起こす可能性があります。この脆弱性は、デフォルトの Debian システムに適用できません。

ソリューション

linux とuser-mode-linux のパッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）では、この問題はバージョン 3.2.41-2+deb7u1 で修正されています。

注：amd64、i386、ia64、s390、s390x、および sparc のアーキテクチャ向けの更新が、現在利用可能です。これ以外のアーキテクチャ向けの更新は、利用可能になりしだいリリースされます。

次のマトリックスでは、この更新との互換性の維持またはこの更新を活用するために再ビルドされた追加のソースパッケージのリストを示しています。

Debian 7.0（wheezy）user-mode-linux 3.2-2um-1+deb7u1 注：Debian は積極的なセキュリティサポートの下、Linux カーネルパッケージ全リリースの既知のセキュリティ問題をすべて慎重に追跡しています。
ただし、カーネルに重要度の低いセキュリティ問題が高頻度で発見されていることと、更新を実行するためのリソース要件により、優先度の低い問題の更新は、通常はすべてのカーネルに対して同時にはリリースされません。代わりに、これらの更新は、段階的または交互にリリースされます。