Ri kiko ti ailagbara iṣẹ ti n kan eto

Ni ọjọ diẹ sẹhin awọn iroyin ti tu silẹ ti ẹgbẹ iwadii ti Qualys ṣe awari kiko ti ailagbara iṣẹ nitori ailagbara akopọ ninu eto, nitorinaa eyikeyi olumulo ti ko ni anfani le lo ailagbara yii lati dènà systemd.

Ipalara ti ṣe atokọ tẹlẹ bi (CVE-2021-33910) O mẹnuba pe o ni ipa lori eto -ara jẹ nipasẹ ikuna nigbati o n gbiyanju lati gbe itọsọna kan pẹlu iwọn ọna ti o tobi ju 8 MB nipasẹ FUSE ati ninu eyiti ilana ipilẹṣẹ iṣakoso (PID1) ti pari ni iranti akopọ ati pe o wa ni titiipa, fifi eto ni ipo “ijaaya”.

A ṣe afihan ailagbara yii ni systemd v220 (Oṣu Kẹrin ọdun 2015) nipasẹ ṣiṣe 7410616c ("ekuro: atunkọ orukọ atunkọ ẹrọ ati ọgbọn afọwọsi"), eyiti o rọpo strdup () lori okiti pẹlu strdupa () ninu batiri naa. Aṣeyọri ilokulo ti ailagbara yii ngbanilaaye eyikeyi olumulo ti ko ni anfani lati fa kiko iṣẹ nipasẹ ijaaya ekuro.

Ni kete ti ẹgbẹ iwadii Qualys ti jẹrisi ailagbara naa, Qualys kopa ninu iṣipaya iṣipa ti ailagbara ati ifowosowopo pẹlu onkọwe ati awọn pinpin orisun ṣiṣi lati kede ailagbara naa.

Awọn oniwadi mẹnuba iyẹn iṣoro naa ti o ni ibatan si CVE-2021-33910 dide nitori otitọ pe awọn diigi eto ati itupalẹ akoonu ti / proc / self / mountinfo ati pe o ṣe itọju aaye oke kọọkan ni iṣẹ unit_name_path_escape () eyiti o fa iṣẹ ṣiṣe ti a pe ni “strdupa ()” ti o ṣe itọju eyiti o ṣe itọju pinpin data lori akopọ dipo okiti.

Ti o ni idi lati igba naa iwọn akopọ ti a gba laaye ti o ni opin nipa iṣẹ "RLIMIT_STACK", mimu ọna pipẹ gun si aaye oke fa ilana “PID1” lati wa ni idorikodo eyiti o yori si idaduro eto.

Ni afikun, wọn mẹnuba pe fun ikọlu lati jẹ iṣẹ ṣiṣe, module FUSE ti o rọrun julọ le ṣee lo ni apapọ pẹlu lilo itọsọna ti o ni itẹlọrun pupọ bi aaye oke, ti iwọn ọna rẹ ti kọja 8 MB.

Tambien O ṣe pataki lati darukọ pe awọn oniwadi Qualys ṣe darukọ ọran kan pato pẹlu ailagbara, niwon ni pataki pẹlu ẹya ti eto 248, ilokulo ko ṣiṣẹ nitori kokoro ti o wa ninu koodu eto ti o fa / proc / self / mountinfo lati kuna. O tun jẹ iyanilenu pe ipo ti o jọra kan dide ni ọdun 2018, bi lakoko igbiyanju lati kọ ilokulo fun ailagbara CVE-2018-14634 ninu ekuro Linux, ninu eyiti awọn oniwadi Qualys rii awọn ailagbara pataki mẹta miiran ni eto.

Nipa ipalara Ẹgbẹ Red Hat ti mẹnuba eyikeyi ọja ti o ni ibamu RHEL yoo tun ni ipa ni agbara.

Eyi pẹlu:

  • Awọn apoti ọja ti o da lori awọn aworan eiyan RHEL tabi UBI. A ṣe imudojuiwọn awọn aworan wọnyi ni igbagbogbo, ati ipo eiyan ti o nfihan boya atunṣe wa fun abawọn yii ni a le wo ni Atọka Ilera Apoti, apakan ti Katalogi Apoti Red Hat (https://access.redhat.com/containers) .
  • Awọn ọja ti o fa awọn idii lati ikanni RHEL. Rii daju pe ipilẹ eto Red Hat Enterprise Linux systemd package ti wa ni imudojuiwọn ni awọn agbegbe ọja wọnyi.

Nitori ibú ti oju ikọlu ti ailagbara yii, Qualys ṣe iṣeduro awọn olumulo lati lo awọn abulẹ ti o yẹ (eyiti o ti tu silẹ tẹlẹ ni ọjọ diẹ sẹhin) fun ailagbara yii lẹsẹkẹsẹ.

Gẹgẹbi a ti sọ tẹlẹ iṣoro naa ti farahan lati systemd 220 (Oṣu Kẹrin ọdun 2015) ati ti wa tẹlẹ ninu ibi ipamọ akọkọ ti systemd ati pe o ti wa lori ọpọlọpọ awọn pinpin Lainos akọkọ, ati awọn itọsẹ rẹ, o le ṣayẹwo ipo ni awọn ọna asopọ atẹle (Debian, Ubuntu, Fedora, RHEL, SUSE, to dara).

Níkẹyìn, ti o ba nifẹ lati mọ diẹ sii nipa rẹ nipa ailagbara yii, o le ṣayẹwo awọn alaye rẹ Ni ọna asopọ atẹle.


Awọn akoonu ti nkan naa faramọ awọn ilana wa ti awọn ilana olootu. Lati jabo aṣiṣe kan tẹ nibi.

Jẹ akọkọ lati sọ ọrọ

Fi ọrọ rẹ silẹ

Adirẹsi imeeli rẹ yoo ko le ṣe atejade. O beere aaye ti wa ni samisi pẹlu *

*

*

  1. Lodidi fun data naa: Miguel Ángel Gatón
  2. Idi ti data naa: SPAM Iṣakoso, iṣakoso ọrọ asọye.
  3. Ofin: Iyọọda rẹ
  4. Ibaraẹnisọrọ data: Awọn data kii yoo ni ifọrọhan si awọn ẹgbẹ kẹta ayafi nipasẹ ọranyan ofin.
  5. Ibi ipamọ data: Alaye data ti o gbalejo nipasẹ Awọn nẹtiwọọki Occentus (EU)
  6. Awọn ẹtọ: Ni eyikeyi akoko o le ni opin, gba pada ki o paarẹ alaye rẹ.