Debian DLA-833-1 : linux セキュリティ更新

high Nessus プラグイン ID 97332
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモートのDebianホストにセキュリティ更新プログラムがありません。

説明

Linux カーネルに、権限昇格、サービス拒否、またはその他の影響をもたらす可能性がある、いくつかの脆弱性が発見されました。CVE-2014-9888 : Russell King 氏は、ARM システムでは、DMA バッファに割り当てられたメモリが実行権限によってマップされていることを発見しました。これにより、カーネルの他の脆弱性を悪用しやすくなります。CVE-2014-9895 : Dan Carpenter 氏は、メディアデバイスの MEDIA_IOC_ENUM_LINKS ioctl によって情報漏洩が発生したことを発見しました。CVE-2016-6786 / CVE-2016-6787 : 特定の移行中にパフォーマンスイベントサブシステムが適切にロックを管理せず、ローカルの攻撃者が権限を昇格できることが判明されました。これは、パフォーマンスイベントの権限のない使用を無効にすることで軽減できます : sysctl kernel.perf_event_paranoid=3。CVE-2016-8405 : Trend Micro の Peter Pi 氏は、カラーマップをユーザー空間にコピーする際に、フレームバッファービデオサブシステムが適切に境界をチェックせず、ヒープバッファーの領域外読み込みが発生し、情報開示につながることを発見しました。CVE-2017-5549 : KLSI KL5KUSB105 シリアル USB デバイスドライバーが初期化されていないカーネルメモリの内容を記録し、情報漏洩を引き起こす可能性があることが発見されました。CVE-2017-6001 : Di Shen 氏は、パフォーマンスイベントサブシステムへの同時呼び出し間の競合状態により、ローカルの攻撃者が権限を昇格させる可能性があることを発見しました。この問題は、CVE-2016-6786 の修正が不完全なために存在します。これは、パフォーマンスイベントの権限のない使用を無効にすることで軽減できます : sysctl kernel.perf_event_paranoid=3。CVE-2017-6074 : Andrey Konovalov 氏は、DCCP ネットワーキングコードで、サービス拒否またはローカルの権限昇格を引き起こす use-after-free の脆弱性を発見しました。dccp モジュールがまだロードされていないシステムでは、これを無効にすることで緩和できます : echo >> /etc/modprobe.d/disable-dccp.conf インストール dccp false Debian 7 'Wheezy' では、これらの問題はバージョン 3.2.84-2 で修正されています。Debian 8 'Jessie' では、これらの問題はバージョン 3.16.39-1+deb8u1 以前で修正されています。お使いの linux パッケージをアップグレードすることを推奨します。注 : Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ソリューション

影響を受ける linux パッケージをアップグレードしてください。

関連情報

https://lists.debian.org/debian-lts-announce/2017/02/msg00021.html

プラグインの詳細

深刻度: High

ID: 97332

ファイル名: debian_DLA-833.nasl

バージョン: 3.11

タイプ: local

エージェント: unix

公開日: 2017/2/23

更新日: 2021/1/11

依存関係: ssh_get_info.nasl

リスク情報

VPR

リスクファクター: Critical

スコア: 9.4

CVSS v2

リスクファクター: High

Base Score: 7.6

Temporal Score: 6.3

ベクトル: AV:N/AC:H/Au:N/C:C/I:C/A:C

現状ベクトル: E:F/RL:OF/RC:C

CVSS v3

リスクファクター: High

Base Score: 7.8

Temporal Score: 7.2

ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: E:F/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:linux, cpe:/o:debian:debian_linux:7.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2017/2/22

脆弱性公開日: 2016/8/6

エクスプロイト可能

Core Impact

参照情報

CVE: CVE-2014-9888, CVE-2014-9895, CVE-2016-6786, CVE-2016-6787, CVE-2016-8405, CVE-2017-5549, CVE-2017-6001, CVE-2017-6074