Oracle Linux 6 / 7:Unbreakable Enterprise 核心 (ELSA-2021-9001)

medium Nessus Plugin ID 146196
新推出!弱點優先順序評分 (VPR)

Tenable 會為每個弱點計算動態 VPR。VPR 將弱點資訊與威脅情報和機器學習演算法加以結合,藉此預測攻擊者最有可能利用哪些弱點發動攻擊。查看詳細資訊: VPR 是什麼?它跟 CVSS 有何不同?

VPR 評分: 6.3

Synopsis

遠端 Oracle Linux 主機缺少一個或多個安全性更新。

描述

遠端 Oracle Linux 6/7 主機上安裝的套件受到 ELSA-2021-9001 公告中提及的多個弱點影響。

- 在 Linux 核心 5.8.15 之前版本中,fbcon 程式碼中存在緩衝區過度讀取弱點 (在 framebuffer 層),本機攻擊者可利用此弱點讀取核心記憶體,即 CID-6735b4632def。(CVE-2020-28915)

- 在 5.9.7 之前版本的 Linux 核心內,fbcon 中存在平台超出邊界讀取問題,本機攻擊者可利用此問題讀取有權限的資訊,或可能損毀核心,即 CID-3c4e0dff2095。這是 drivers/tty/vt/vt.c 中的 KD_FONT_OP_COPY 可用於字型高度等操控所致。(CVE-2020-28974)

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼。

解決方案

更新受影響的套件。

另請參閱

https://linux.oracle.com/errata/ELSA-2021-9001.html

Plugin 詳細資訊

嚴重性: Medium

ID: 146196

檔案名稱: oraclelinux_ELSA-2021-9001.nasl

版本: 1.3

類型: local

代理程式: unix

已發布: 2021/2/4

已更新: 2021/2/5

相依性: linux_alt_patch_detect.nasl, ssh_get_info.nasl

風險資訊

風險因素: Medium

VPR 評分: 6.3

CVSS 評分資料來源: CVE-2020-28974

CVSS v2.0

基本分數: 6.1

時間分數: 4.5

媒介: AV:L/AC:L/Au:N/C:P/I:P/A:C

時間媒介: E:U/RL:OF/RC:C

CVSS v3.0

基本分數: 5

時間分數: 4.4

媒介: CVSS:3.0/AV:P/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:H

時間媒介: E:U/RL:O/RC:C

弱點資訊

CPE: cpe:/o:oracle:linux:6, cpe:/o:oracle:linux:7, p-cpe:/a:oracle:linux:dtrace-modules-3.8.13-118.53.1.el6uek, p-cpe:/a:oracle:linux:dtrace-modules-3.8.13-118.53.1.el7uek, p-cpe:/a:oracle:linux:kernel-uek, p-cpe:/a:oracle:linux:kernel-uek-debug, p-cpe:/a:oracle:linux:kernel-uek-debug-devel, p-cpe:/a:oracle:linux:kernel-uek-devel, p-cpe:/a:oracle:linux:kernel-uek-doc, p-cpe:/a:oracle:linux:kernel-uek-firmware

必要的 KB 項目: Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list, Host/local_checks_enabled

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2021/1/7

弱點發布日期: 2020/11/18

參考資訊

CVE: CVE-2020-28915, CVE-2020-28974