Debian DSA-3290-1：linux –セキュリティ更新

high Nessus プラグイン ID 84277

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Linux カーネルに、権限昇格、サービス拒否、情報漏洩、またはデータ破損を引き起こす場合がある、いくつかの脆弱性が発見されています。

- CVE-2015-1805 Red Hat は、パイプ iovec の読み取りと書き込みの実装が iovec を 2 回反復することがあり、iovec が、2 回目の反復で間違ったメモリにアクセスするように変更されることを、見つけました。ローカルユーザーがこの欠陥を利用して、システムをクラッシュしたり、権限昇格を引き起こしたりする可能性があります。これは、悪意のないプロセス間のパイプでデータ破損や情報漏洩を引き起こす可能性もあります。

- CVE-2015-3636 Keen チームの Wen Xu 氏および wushi 氏は、ユーザーがシステムクラッシュに使用でき、32 ビットアーキテクチャ上で権限昇格に利用できる ping ソケットを作成できることを発見しました。しかし、デフォルトでは、Debian システムのユーザーは ping ソケットへのアクセスがありません。

- CVE-2015-4167 Carl Henrik Lunde 氏は、UDF の実装で必要な長さ確認が欠落していることを発見しました。デバイスをマウントできるローカルのユーザーはこの欠陥を利用してシステムをクラッシュできます。

ソリューション

Linux パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 3.2.68-1+deb7u2.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題は、バージョン 3.16.7-ckt11-1 またはそれ以前で修正されました。また CVE-2015-4167 は今後修正されます。