Breaking News

พบช่องโหว่บน linux Kernel กระทบทั้ง Red Hat, Ubuntu, Debian และ SUSE

มีรายงานพบช่องโหว่ระดับ implementation ที่นำไปสู่การเกิด Memory Corruption บน Linux ในส่วน Reliable Datagram Sockets (RDS) สำหรับโมดูล TCP ซึ่งคาดว่าจะกระทบกับ Kernel เวอร์ชันก่อน 5.0.8

NIST ได้ออกรายงานเผยถึงช่องโหว่ CVE-2019-11815 ว่าเป็นปัญหาของ Race Condition ที่ส่งผลกระทบกับ rds_tcp_kill_socket ใน net/rds/tcp.c ซึ่งบั้กสามารถนำไปสู่ Use-after-free (อ้างอิงถึงหน่วยความจำส่วนที่คืนไปแล้ว) อย่างไรก็ตามการใช้งานช่องโหว่ทำได้ค่อนข้างยากและ Vendor linux หลายเจ้าได้ให้ความรุนแรงไว้แตกต่างกันแต่สามารถใช้งานผ่านเครือข่ายและไม่จำเป็นต้องมีสิทธิ์ระดับสูงหรืออาศัยการปฏิสัมพันธ์จากผู้ใช้

สำหรับ Advisory จาก Red Hat อธิบายว่า “ระบบที่มีการโหลด Kernel โมดูล rds_tcp (ทั้งจากการ Manual หรือเรียกผ่านโปรเซส listen() อย่างอัตโนมัติ) อาจเป็นสาเหตุให้เกิด use-after-free ที่ทำให้ผุ้โจมตีสามารถเข้ามาทำบางอย่างกับสถานะของ Socket ในระหว่างที่ network namespace ถูกทำลายลง” ในขณะที่ฝั่ง Ubuntu กล่าวว่า “โมดูล Blacklisting rds.ko สามารถป้องกันการโหลดโค้ดช่องโหว่ได้ซึ่งมีการตั้งค่าเป็น Default ของแพ็กเกจ kmod ในการ include RDS ตั้งแต่ LTS 14.04 แล้ว” โดยช่องโหว่ดังกล่าวยังกระทบไปถึง SUSE และ Debian ด้วยดังนั้นก็แพตช์กันให้เรียบร้อยนะครับ

ที่มา :  https://www.securityweek.com/linux-kernel-privilege-escalation-vulnerability-found-rds-over-tcp และ  https://betanews.com/2019/05/20/linux-kernel-rds-flaw/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

ISO ออกมาตรฐานใหม่ ISO/IEC 27701:2019 Privacy Information Management

ISO ประกาศมาตรฐานใหม่ ISO/IEC 27701:2019 Privacy Information Management ซึ่งเป็นส่วนต่อขยายจาก ISO/IEC 27001 และ ISO/IEC 27002 สำหรับเป็นแนวทางให้องค์กรสามารถบริหารจัดการข้อมูลส่วนบุคคลได้อย่างมั่นคงปลอดภัย นำไปประยุกต์ใช้ให้สอดคล้องกับ …

ETDA จัดแข่งขัน Thailand CTF Competition 2019 เฟ้นหาตัวแทนไปแข่งขันระดับโลก

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ประกาศจัดการแข่งขัน Thailand CTF Competition 2019 เพื่อเฟ้นหาสุดยอดฝีมือด้านความมั่นคงปลอดภัยไซเบอร์ไปแข่งขันในงาน Security Contest 2019 (SECCON 2019) ระดับโลก นิสิตและนักศึกษาระดับอุดมศึกษา …