NEOHAPSIS - Peace of Mind Through Integrity and Insight

Neohapsis is currently accepting applications for employment. For more information, please visit our website www.neohapsis.com or email hr@neohapsis.com

Neohapsis > Archives > Conectiva Linux> 2001-q2

From: secureconectiva.com.br
Date: Thu Apr 19 2001 - 12:42:36 CDT

Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

- -------------------------------------------------------------------------
ANÚNCIO DE SEGURANÇA DO CONECTIVA LINUX
- -------------------------------------------------------------------------

PACOTE : kernel
RESUMO : Correção de diversas vulnerabilidades
DATA : 2001-04-19 14:41:00
ANÚNCIO : CLA-2001:394
EDIÇÕES : 4.0, 4.0es, 4.1, 4.2, 5.0, prg graficos, ecommerce, 5.1, 6.0

- -------------------------------------------------------------------------

DESCRIÇÃO DO PROBLEMA
Diversas vulnerabilidades foram encontradas em versões anteriores à
2.2.19 do kernel. É possível para usuários locais obterem privilégios
de administrador (via uma race condition existente em ptrace/exec),
modificar a memória do kernel (através de falhas na checagem de
números negativos em algumas funções) e provocar o travamento da
máquina. Uma lista completa das vulnerabilidades corrigidas pode ser
obtida em http://www.linux.org.uk/VERSION/relnotes.2219.html. Esta
URL também descreve outras mudanças introduzidas nesta versão do
kernel, como atualizações de drivers de dispositivos.
Também foi corrigida uma vulnerabilidade do sistema de arquivos
ReiserFS com nomes longos de diretórios que poderia ser usada para
esconder arquivos (por exemplo, rootkits) e possivelmente causar
instabilidades no sistema.

SOLUÇÃO
É recomendado que todos os usuários de todas as distribuições
Conectiva Linux atualizem o kernel.

*****************************************************************
IMPORTANTE: após a atualização, é necessário reiniciar a máquina
com o kernel novo!
*****************************************************************

Devido à complexidade do kernel, todas as distribuições estão sendo
atualizadas para a versão 2.2.19 ao invés de fazer backport das
correções. Em alguns casos, isso implica em atualizações de pacotes
userlevel também. Verifique a relação de arquivos para sua
distribuição nestes casos.
Algumas mudanças introduzidas nesta atualização e demais
comentários:
- patch para o drbd (usado em sistemas de alta disponibilidade e
clustering) conforme anunciado em
http://distro.conectiva.com.br/artigo/19/116.html. Usuários do CL5.1
também precisarão atualizar o pacote drbd se ele estiver sendo
utilizado;
- atualização do freeswan (IPSEC) para a versão 1.9. Este pacote
somente existiu no CL4.2 e CL5.1 em diante, e agora está sendo
fornecido para todas as distribuições;
- alguns dispositivos USB mudaram de número "major" ao longo do
desenvolvimento desse suporte no kernel. Em particular, houve
mudanças nos dispositivos /dev/usb/usbmouse[0-9] e
/dev/usb/usbjs[0-9]. Apenas o CL5.0 é afetado por estas mudanças,
pois as outras versões da distribuição já tinham um kernel mais
atualizado. Em virtude disso, usuários do CL5.0 vão ter que atualizar
o pacote initscripts também, que vai checar em tempo de boot qual o
kernel que está sendo utilizado e ajustar os dispositivos
automaticamente;
- devido à introdução de dispositivos USB, o pacote modutils vai ter
que ser atualizado na distribuição CL4.0.

Atualizações do kernel não podem ser realizadas automaticamente. No
caso do CL6.0, o apt vai atualizar apenas os pacotes acessórios, se
necessário, mas não o pacote principal do kernel. Este precisará ser
atualizado manualmente.

Há 3 tipos básicos de kernel:
- tipo de arquitetura: i386, i586 (pentium) e i686 (pentium II ou
superior);
- multiprocessado ou sistemas com uma CPU apenas
(kernel-smp-2.2.19-3cl e kernel-2.2.19-3cl, respectivamente)
- kernel enterprise, com suporte a até 3,6Gb de memória e arquivos
maiores que 2Gb (kernel-enterprise-2.2.19-3cl, somente disponível
para i686 e somente suportado no CL6.0 ou superior)

Procedimento:
- instale com "rpm -ivh" o pacote do kernel escolhido. Por exemplo,
"rpm -ivh kernel-2.2.19-3cl.i386.rpm". A instalação desta forma
garante que o kernel anterior ainda esteja disponível;
- se você utiliza dispositivos SCSI, sistema de arquivos ReiserFS ou
por algum outro motivo necessita de um ramdisk inicial (initrd), rode
o comando mkinitrd:

mkinitrd -v --with=reiserfs /boot/initrd-2.2.19-3cl.img 2.2.19-3cl

(use '--with=reiserfs' apenas se usar o sistema de arquivos
ReiserFS);
- se você usa LILO para carregar o linux, edite o arquivo
/etc/lilo.conf e certifique-se de que há uma entrada ali para o
kernel novo. Se você criou um ramdisk através do mkinitrd, verifique
também se o arquivo initrd-2.2.19-3cl.img está sendo usado no
parâmetro "initrd=". Após estas alterações, salve o arquivo, saia e
rode o comando "lilo". Não devem ocorrer erros;
- se você usa GRUB para carregar o linux, edite o arquivo
/boot/grub/menu.lst e certifique-se de que o kernel novo está sendo
chamado, e o respectivo ramdisk também (se necessário). O arquivo
novo do kernel sempre será instalado no diretório /boot sob o nome
"vmlinuz-2.2.19-3cl".

De forma geral, é recomendado que se mantenha uma cópia do kernel
antigo na máquina e nas entradas do LILO ou GRUB para que ela possa
ser usada caso ocorram problemas com a atualização, visto que este é
um procedimento um tanto quanto complexo.

Um exemplo de uma atualização do kernel pode ser vista em
http://distro.conectiva.com.br/atualizacoes/, no fim da página.
Instruções detalhadas de configuração do LILO e do GRUB podem ser
obtidas nos manuais on-line
(http://www.conectiva.com/doc/livros/online/6.0/html_usuario/sec-lilo.html
e
http://www.conectiva.com/doc/livros/online/6.0/html_usuario/sec-grub-configuracao.html,
respectivamente).

INSTRUÇÕES ADICIONAIS
Usuários do Conectiva Linux 6.0 ou superior podem usar apt para fazer
atualizações de pacotes RPM:
- se a linha abaixo ainda não existir no arquivo /etc/apt/sources.list,
acrescente-a:

rpm [cncbr] ftp://atualizacoes.conectiva.com.br 6.0/conectiva updates

- execute: apt-get update
- seguido por: apt-get upgrade

Instruções detalhadas de uso do apt e exemplos práticos encontram-se em
http://distro.conectiva.com.br/atualizacoes/#apt

- -------------------------------------------------------------------------
Todos os pacotes listados aqui também são assinados com a chave GPG da
Conectiva. A chave, bem como instruções de como importá-la, pode ser
encontrada em http://distro.conectiva.com.br/seguranca/chave/.
Instruções para checar a assinatura dos pacotes podem ser encontradas em
http://distro.conectiva.com.br/seguranca/politica/.

- -------------------------------------------------------------------------
Todos os anúncios de atualizações são armazenados e podem ser consultados
na página http://distro.conectiva.com.br/atualizacoes/.
Instruções genéricas para atualizações são fornecidas na mesma página.

- -------------------------------------------------------------------------
A Conectiva possui uma lista pública para discutir assuntos de segurança
relacionados à distribuição. Acesse http://distro.conectiva.com.br/lista/
para obter mais informações.

- -------------------------------------------------------------------------
cadastramento: atualizacoes-anuncio-subscribepapaleguas.conectiva.com.br
cancelamento: atualizacoes-anuncio-unsubscribepapaleguas.conectiva.com.br
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.4 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQE63yOL42jd0JmAcZARAk4MAJ9CgsW5WgSXKj5SWW9ZFM9kdIbixwCgmp3z
Szwn95xocZpiDURnsYdrEMc=
=yV7Q
-----END PGP SIGNATURE-----

Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]