RHEL 5：核心 (RHSA-2013:1449)
high Nessus Plugin ID 70553
語言:
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。說明
現已提供適用於 Red Hat Enterprise Linux 5 的更新版核心套件，可修正多個安全性問題和一個錯誤。Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。
kernel 套件中包含 Linux 核心，這是任何 Linux 作業系統的核心。
* 在 Linux 核心用於建立暫時 IPv6 位址的方式中發現一個瑕疵。如果 IPv6 隱私權延伸模組已啟用 (/proc/sys/net/ipv6/conf/eth0/use_tempaddr 設為「2」)，本機網路上的攻擊者就可停用 IPv6 暫存位址產生功能，進而可能造成資訊洩漏。(CVE-2013-0343，中等)
* 在某些情況下，Linux 核心的裝置對應程式子系統解譯寫入至快照區塊裝置之資料的方式存有一個資訊洩漏瑕疵。攻擊者可利用此瑕疵，讀取可用空間中磁碟區的資料，而這些資料通常無法存取。
(CVE-2013-4299，中等)
* 在 Linux 核心中，ANSI CPRNG 實作處理非區塊大小對齊要求的方式中，發現一個差一瑕疵。這可導致產生的亂數比使用 ANSI CPRNG 時，預期所用的熵位元數更少。
(CVE-2013-4345，中等)
* 在 Xen Hypervisor 模擬用於 64 位元並行虛擬化來賓的 OUTS 指示時，所用的方式中有一個資訊洩漏瑕疵。有權限的來賓使用者可利用此瑕疵，將 Hypervisor 堆疊記憶體洩漏給來賓。(CVE-2013-4368，中等)
Red Hat 要感謝 Fujitsu 報告 CVE-2013-4299；感謝 Stephan Mueller 報告 CVE-2013-4345；感謝 Xen 專案報告 CVE-2013-4368。
此更新也可修正下列錯誤：
GFS2 程式碼中有一個錯誤，可能會導致 glock 工作佇列無法釋出 glock 相關的記憶體，使得 glock 記憶體因重複將大量降級要求排入佇列而不斷縮減；例如，針對內含大量檔案的數個即時 GFS2 磁碟區，執行同時備份時，就可能會發生上述情況。因此會造成 glock 工作佇列過載，導致高 CPU 使用率，而且 GFS2 檔案系統會有很長一段時間無法回應。已套用修補程式，現在針對 glock 工作佇列排程特定工作量之後，會呼叫 yield() 函式，可以減輕此問題。
此問題現在只有在極高工作負載時才會出現。
(BZ#1014714)
建議所有核心使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。必須重新啟動系統，此更新才會生效。
解決方案
更新受影響的套件。另請參閱
http://www.nessus.org/u?5d25a736
https://access.redhat.com/errata/RHSA-2013:1449
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=1004233
https://bugzilla.redhat.com/show_bug.cgi?id=1007690
Plugin 詳細資訊
嚴重性: High
ID: 70553
檔案名稱: redhat-RHSA-2013-1449.nasl
版本: 1.15
類型: local
代理程式: unix
已發布: 2013/10/23
已更新: 2024/11/4
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.0
Vendor
Vendor Severity: Moderate
CVSS v2
風險因素: Medium
基本分數: 6
時間性分數: 4.7
媒介: CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2013-4299
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2013-4345
弱點資訊
CPE: p-cpe:/a:redhat:enterprise_linux:kernel-xen-devel, p-cpe:/a:redhat:enterprise_linux:kernel-pae, cpe:/o:redhat:enterprise_linux:5, p-cpe:/a:redhat:enterprise_linux:kernel-headers, p-cpe:/a:redhat:enterprise_linux:kernel-devel, p-cpe:/a:redhat:enterprise_linux:kernel-debug-devel, p-cpe:/a:redhat:enterprise_linux:kernel-pae-devel, p-cpe:/a:redhat:enterprise_linux:kernel-kdump, p-cpe:/a:redhat:enterprise_linux:kernel-kdump-devel, p-cpe:/a:redhat:enterprise_linux:kernel, p-cpe:/a:redhat:enterprise_linux:kernel-debug, p-cpe:/a:redhat:enterprise_linux:kernel-xen
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2013/10/22
參考資訊
CVE: CVE-2013-0343, CVE-2013-4299, CVE-2013-4345, CVE-2013-4368