CentOS 5 : 核心 (CESA-2013:1790)

low Nessus Plugin ID 71236

Synopsis

遠端 CentOS 主機缺少一個或多個安全性更新。

描述

現已提供適用於 Red Hat Enterprise Linux 5 的更新版核心套件,可修正一個安全性問題和數個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數,其中包含有關嚴重性評等的詳細資訊。

kernel 套件中包含 Linux 核心,這是任何 Linux 作業系統的核心。

* 在特定源自來賓的作業期間,讀取來賓記憶體時,在 Xen Hypervisor 處理錯誤情形 (例如連接埠或記憶體對應 I/O 寫入) 的方式中發現資訊洩漏瑕疵。
在完全虛擬化的來賓中,有權限的使用者可利用此瑕疵來將 Hypervisor 堆疊記憶體洩漏至來賓。(CVE-2013-4355,中等)

Red Hat 要感謝 Xen 專案報告此問題。

此更新也可修正下列錯誤:

* 前版的核心修正不包含 percpu_up_write() 函式中的記憶體障礙。因此在特定情況下,可發生導致記憶體損毀及後續核心錯誤的爭用情形。此更新為每個 CPU 基礎讀取和寫入信號 (percpu-rw-semaphores) 引入了新的記憶體障礙配對 light_mb() 和 heavy_mb(),確保爭用情形不會再發生。此外,’percpu-rw-semaphores’的讀取路徑效能也已改善。(BZ#1014715)

* 由於 tg3 驅動程式中存在錯誤,系統若在 NIC 上啟用了網路喚醒 (WOL) 功能,使用者就無法使用 WOL 從暫停或休眠中喚醒該系統。遺漏的 pci_wake_from_d3() 函式呼叫已新增至 tg3 驅動程式,可確保 WOL 藉由設定 PME_ENABLE 位元正常運作。(BZ#1014973)

* 由於 mpt2sas 驅動程式中存在錯誤的測試條件,驅動程式無法擷取失敗以對應 SCSI 分散/集中清單。測試條件已更正,因此 mpt2sas 驅動程式現在可如預期處理 SCSI 分散/集中對應失敗。(BZ#1018458)

* 前版的核心修補程式引入了「VLAN 標籤重新插入」因應措施,以便解決 be2net 驅動程式處於混雜模式時,錯誤處理無指派 VLAN 群組的 VLAN 標註封包問題。但是如果這類處理的封包是 GRO 封包,此解決方案會導致封包損毀及後續出現核心 oops。因此已套用修補程式,限制 VLAN 標籤只重新插入非 GRO 封包。be2net 驅動程式現在可於此情況下正確處理無指派 VLAN 群組的 VLAN 標註封包。(BZ#1023348)

建議所有核心使用者皆升級至這些更新版套件,其中包含可更正這些問題的反向移植修補程式。必須重新啟動系統,此更新才會生效。

解決方案

更新受影響的 kernel 套件。

另請參閱

http://www.nessus.org/u?6ec97073

Plugin 詳細資訊

嚴重性: Low

ID: 71236

檔案名稱: centos_RHSA-2013-1790.nasl

版本: 1.10

類型: local

代理程式: unix

已發布: 2013/12/6

已更新: 2021/1/4

支持的傳感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure

風險資訊

CVSS 評分資料來源: CVE-2013-4355

VPR

風險因素: Low

分數: 3.4

CVSS v2

風險因素: Low

基本分數: 1.5

時間分數: 1.1

媒介: AV:L/AC:M/Au:S/C:P/I:N/A:N

時間媒介: E:U/RL:OF/RC:C

弱點資訊

CPE: p-cpe:/a:centos:centos:kernel, p-cpe:/a:centos:centos:kernel-PAE, p-cpe:/a:centos:centos:kernel-PAE-devel, p-cpe:/a:centos:centos:kernel-debug, p-cpe:/a:centos:centos:kernel-debug-devel, p-cpe:/a:centos:centos:kernel-devel, p-cpe:/a:centos:centos:kernel-doc, p-cpe:/a:centos:centos:kernel-headers, p-cpe:/a:centos:centos:kernel-xen, p-cpe:/a:centos:centos:kernel-xen-devel, cpe:/o:centos:centos:5

必要的 KB 項目: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2013/12/5

弱點發布日期: 2013/10/1

參考資訊

CVE: CVE-2013-4355

BID: 62708

RHSA: 2013:1790