現已提供適用於 Red Hat Enterprise Linux 7 的更新版核心套件，可修正一個安全性問題和數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

kernel 套件中包含 Linux 核心，這是任何 Linux 作業系統的核心。

* 在 Linux 核心中，Intel AES-NI 指示最佳化版本的 RFC4106 GCM 模式解密功能對於片段封包，所用的處理方法有一個緩衝區溢位瑕疵。遠端攻擊者可利用此瑕疵造成損毀，甚至可能在透過有效 AEC-GCM 模式之 IPSec 安全性關聯進行連線的系統中提升自己的權限。(CVE-2015-3331，重要)

此更新也可修正下列錯誤：

* 之前，核心稽核子系統並未正確追蹤檔案路徑名稱，這可能導致 PATH 稽核記錄中的路徑名稱空白或是「(null)」。此更新已修正該錯誤，現可正確追蹤檔案名稱並在稽核 PATH 記錄中正確顯示名稱。
(BZ#1197746)

* 由於欄位類別的內部表示法有所變更，由稽核 API 設為 -1 (4294967295) 的 AUDIT_LOGINUID 會不對稱轉換成值為 0 的 AUDIT_LOGINUID_SET 欄位，而舊版稽核 API 無法識別該值。為修正此錯誤，核心會記錄規則制定的方式，並以原始指定形式報告規則。如此一來，舊版稽核即可按照預期，以 AUDIT_LOGINUID 欄位類型形式提供報告，而新版稽核則會移轉至新的 AUDIT_LOGINUID_SET 欄位類型。(BZ#1197748)

* 用於 sendfile() 函式的 GFS2 檔案系統「Splice Read」作業，未在記憶體中正確配置必要的多重區塊保留結構。因而在系統呼叫 GFS2 區塊配置器以指派資料區塊時，其會嘗試解除參照結構，而這會導致核心錯誤。透過此更新，「Splice read」作業將可在呼叫區塊配置之前，先於記憶體中正確配置所需的保留結構，如此 sendfile() 在 GFS2 中即可正確執行。(BZ#1201256)

* 若將 Open vSwitch (OVS) 內部 vport 移至其他網路命名空間，隨後再刪除該命名空間，會導致核心錯誤。
現已修正此錯誤，方法是在進行網路命名空間刪除作業時，移除 OVS 內部 vport。(BZ#1202357)

* 之前，核心稽核子系統並未正確處理檔案和目錄移動作業，這會導致稽核記錄與稽核檔案監看工具不符。此修正可正確處理這些移動作業，使稽核檔案監看工具可以正確運作。(BZ#1202358)

* 由於迴歸問題而無法在線上設定密碼編譯介面卡。現已提供修補程式來修正裝置註冊處理程序，即使在註冊處理程序完成前也可以使用裝置，即可修正此錯誤。(BZ#1205300)

* 由於在熵加法運算的過程中不正確地計算熵，而導致高估 /dev/random 檔案中的熵數量。現已修改熵的加法運算公式，即可修正此錯誤。(BZ#1211288)

* 之前，ansi_cprng 和 drbg 公用程式並未遵循呼叫慣例，且會在成功執行時傳回正值，而非正確的零值。因而在使用 ansi_cprng 或 drbg 時，網際網路通訊協定安全性 (IPsec) 會無預期終止。
透過此更新，ansi_cprng 和 drbg 已變更為在成功時傳回零值，且 IPsec 也可正確運作。(BZ#1211487)

* 由於在 mlx4_en 驅動程式中重新使用 tx 描述符號時，未能成功清除時間戳記旗標，使得無論在什麼情況下，未對傳送資料要求硬體時間戳記封包的程式也會收到此封包，而這會導致特定應用程式出現未預期的行為。透過此更新，即使在上述情況下從 mlx4_en 驅動程式重新使用 tx 描述符號，系統也會清除硬體時間戳記旗標，且應用程式也可按照預期地運作。(BZ#1209240)

建議所有核心使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。必須重新啟動系統，此更新才會生效。

偵測

CentOS 7 : 核心 (CESA-2015:0987)

high Nessus Plugin ID 83417

找不到變更記錄