Canonical sistema 7 vulnerabilità su Ubuntu

Sabato Canonical ha annunciato il rilascio di 7 patch al kernel che sistemano altrettante CVE; questo rilascio impatta non solo Ubuntu, ma anche le varie distribuzioni derivate.

I problemi impattano le versioni 12.04 LTS, 14.04 LTS, 16.04 LTS e l'ultima 16.10, e fondamentalmente espongono i sistemi a dei Denial Of Service tramite crash del sistema effettuati -quasi tutti- da utenti locali.

Ma andiamo a vedere le singole CVE:

CVE-2016-9555: impatta le versioni 12.04 LTS e 14.04 LTS ed è relativo all'implementazione SCTP del kernel. Inviando dati malformati permette ad utenti remoti di mandare in crash il sistema;
CVE-2016-9685: questo bug impatta il supporto al filesystem XFS in Ubuntu 12.04 e, tramite memory leaks (la possibilità di un processo di scrivere all'esterno dell'area di memoria a lui riservata) permette ad un utente locale di causare un DoS;
CVE-2016-10147: affligge entrambe le versioni 16 di Ubuntu e, sfruttando una vulnerabilità di mcryptd permette anch'esso di mandare in crash il sistema
CVE-2016-8399: questo invece impatta la gestione del protocollo ICMP; un header malformato di un pacchetto di questo tipo può esporre informazioni sensibili del kernel, permettendo ad un utente locale di verificare la vulnerabilità ad altri tipi di attacchi;
Infine, gli ultimi tre bug di sicurezza indicati dalle CVE-2016-10150, CVE-2016-8632 e CVE-2016-9777 colpiscono solo Ubuntu 16.10 (non la usate in produzione, vero?) ed impattano, in sequenza, il sottosistema di Virtual Machine del kernel KVM, un buffer overflow dello HEAP che può portare all'esecuzione di codice come root, ed ancora il KVM, permettendo ad un'attaccante da un guest OS di ottenere privilegi di root e/o mandare in crash l'OS che ospita la virtual machine