2 つのセキュリティの問題を修正する更新済みのカーネルパッケージが、Red Hat Enterprise Linux 6.4 Extended Update Support で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

カーネルパッケージには Linux オペレーティングシステムのコアである Linux カーネルが含まれています。

* Linux のカーネルの ptrace サブシステムにより、ユーザー空間に戻る際に、トレースされたプロセスの命令ポインターが非 sysret コードパスを強制せずに非正規のメモリアドレスに設定されることが判明しました。権限のないローカルユーザーが、この欠陥を利用して、システムをクラッシュさせたり、システムの権限を昇格したりする可能性があります。
（CVE-2014-4699、重要度高）

注：CVE-2014-4699 の問題は、Intel CPU を使用しているシステムにのみ影響します。

* L2TP 上の Linux カーネルの PPP 実装の pppol2tp_setsockopt() および pppol2tp_getsockopt() 関数が、非 SOL_PPPOL2TP ソケットオプションレベルでリクエストを処理した方法で、1 つの欠陥が判明しました。ローカルの権限のないユーザーがこの欠陥を利用して、システム上で権限を昇格する可能性があります。（CVE-2014-4943、重要度高）

CVE-2014-4699 を報告してくれた Andy Lutomirski 氏および CVE-2014-4943 を報告してくれた Sasha Levin 氏に感謝の意を表します。

カーネルの全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするには、システムを再起動する必要があります。

検出

RHEL 6：カーネル（RHSA-2014:0925）

medium Nessus プラグイン ID 79111

変更ログが見つかりません