Le noyau Linux est vulnérable !
De multiple vulnérabilités ont été découvertes dans le noyau Linux, elles permettraient de produire un déni de service, une fuite d'informations ou une augmentation de droits.
De nombreuses personnes comme Chanam Park, Dan Carpenter, Jonathan Salwan ou encore Nicolas Dichtel sont à l'origine de ces trouvailles. Le dictionnaire CVE du Mitre contient 10 référence pour ces vulnérabilités :
- CVE-2013-1059 : Chanam Park a signalé un problème dans le le système de stockage distribué Ceph. Des utilisateurs distants peuvent provoquer un DoS en envoyant un message auth_reply contrefait pour l'occasion.
- CVE-2013-2148 : Dan Carpenter a signalé une fuite d'informations dans le sous-système de notification d'accès au système de fichiers (fanotify). Des utilisateurs locaux pourraient avoir accès à de la mémoire sensible du noyau.
- CVE-2013-2164 : Jonathan Salwan a signalé une fuite d'informations dans le pilote de CD-ROM. Un utilisateur local d'un système ayant un lecteur de CD-ROM défectueux pourrait accéder à de la mémoire sensible.
- CVE-2013-2232 : Dave Jones et Hannes Frederic Sowa ont résolu un problème dans le sous-système IPv6. Des utilisateurs locaux pourraient provoquer un déni de service en utilisant un socket AF_INET6 pour se connecter à une destination en IPv4.
- CVE-2013-2234 : Mathias Krause a signalé une fuite de mémoire dans l'implémentation des sockets PF_KEYv2. Des utilisateurs locaux pourraient avoir accès à de la mémoire sensible du noyau.
- CVE-2013-2237 : Nicolas Dichtel a signalé une fuite de mémoire dans l'implémentation des sockets PF_KEYv2. Des utilisateurs locaux pourraient avoir accès à de la mémoire sensible du noyau.
- CVE-2013-2851 : Kees Cook a signalé un problème dans le sous-système de bloc. Des utilisateurs locaux ayant l'uid 0 pourraient obtenir des droits élevés de ring 0. Ce n'est un problème de sécurité que pour certains systèmes spécialement configurés.
- CVE-2013-2852 : Kees Cook a signalé un problème dans le pilote de réseau b43 pour certains périphériques sans fil Broadcom. Des utilisateurs locaux ayant l'uid 0 pourraient obtenir des droits élevés de ring 0. Ce n'est un problème de sécurité que pour certains systèmes spécialement configurés.
- CVE-2013-4162 : Hannes Frederic Sowa a signalé un problème dans le sous-système de réseau IPv6. Des utilisateurs locaux peuvent provoquer un déni de service (plantage du système).
- CVE-2013-4163 : Dave Jones a signalé un problème dans le sous-système de réseau IPv6. Des utilisateurs locaux peuvent provoquer un déni de service (plantage du système).
En ce qui concerne Debian Wheezy, les problèmes sont corrigés dans la version 3.2.46-1+deb7u1. Il est conseillé de mettre également à jour votre paquet user-mode Linux en version 3.2-2um-1+deb7u2.
Source : Debian Security
