2017-0342: Linux-Kernel: Zwei Schwachstellen ermöglichen u.a. die komplette Systemübernahme

Historie:

Version 1 (2017-02-27 13:44)

Neues Advisory

Version 2 (2017-02-28 10:54)

Für Oracle Linux 5 (i386, ia64, x86_64) stehen Backport-Sicherheitsupdates für den Linux-Kernel bereit, um diese Schwachstellen zu beheben.

Version 3 (2017-03-01 10:28)

Für Red Hat Enterprise Linux 5.6 Long Life und Red Hat Enterprise Linux 5.9 Long Life stehen Kernel-Sicherheitsupdates bereit. Betroffene Systeme müssen im Anschluss an das Update neu gestartet werden.

Version 4 (2018-01-11 13:08)

Juniper informiert darüber, dass CTPView 7.1, 7.2 und 7.3 von den Schwachstellen im Linux-Kernel betroffen sind und benennt CTPView 7.1R2, 7.3R3, 7.4R1 und nachfolgende Releases als fehlerbereinigte Versionen.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Juniper
Linux
Oracle

Beschreibung:

Ein lokaler, nicht authentisierter Angreifer kann eine Schwachstelle ausnutzen, um durch eine ungültigen Freigabe (Invalid Free) einen Denial-of-Service (DoS)-Angriff durchzuführen oder mit Hilfe einer Anwendung, die einen 'IPV6_RECVPKTINFO setsockopt'-Systemaufruf tätigt, beliebigen Programmcode im Kontext des Kernels ausführen und damit das System komplett zu kompromittieren. Eine weitere Schwachstelle ermöglicht einem entfernten, nicht authentisierten Angreifer, indem er IPv6-Reset-Pakete an ein System sendet, ebenfalls einen vollständigen Denial-of-Service (DoS)-Zustand zu verursachen.

Für Red Hat Enterprise Linux 5 in den Ausprägungen Server und Desktop Client stehen Sicherheitsupdates zur Behebung dieser Schwachstellen bereit.

Schwachstellen:

CVE-2017-2634

Schwachstelle in Linux-Kernel ermöglicht Denial-of-Service-Angriff

CVE-2017-6074

Schwachstelle in Linux-Kernel ermöglicht komplette Systemübernahme

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.