Důležitá bezpečnostní aktualizace v Ubuntu

Canonical uvolnil důležitou bezpečnostní aktualizaci pro Ubuntu 6.06, 8.04, 8.10 a 9.04 (týká se to i Kubuntu, Xubuntu a Edubuntu). Ta opravuje 15 chyb obsažených v distribučním kernelu. Je silně doporučováno co nejdříve updatovat systém (aby se změny projevily, je nutné následně restartovat počítač).

3.7.2009 09:53 | Tomáš Heger (geckon) | Bezpečnostní upozornění

Komentáře

[Aleš Janda]

Pokud používáte Ubuntu 9.04 a Ksplice Uptrack (patchování jádra za běhu) a nemáte IPv6 ani Sparc, není aktualizace (a restart) potřeba. Podle odkazu aktualizace obsahuje opravy, které byly pomocí Ksplice už aktualizovány, kromě následujících:

• CVE-2009-1360 - týká se pouze IPv6, pokud váš poskytovatel vůbec IPv6 nenabízí, není co řešit
• CVE-2009-1914 - týká se pouze Sparcu (na tuto chybu přišel BLEK. )

Kromě toho obsahuje další dvě aktualizace navíc, které jsou však určeny jen starším verzím distribuce (CVE-2009-1338 - jen 8.04 a CVE-2009-1336 - jen 6.06).

Miluju Ksplice

[Andrej]

CVE-2009-1360 - týká se pouze IPv6, pokud váš poskytovatel vůbec IPv6 nenabízí, není co řešit

Toto je velmi zavádějící fráze. Můj poskytovatel IPv6 nenabízí, nicméně i přesto IPv6 denně používám. Navíc existuje spousta uživatelů, kteří mohou IPv6 používat zcela nevědomě. Příkladem jsou ti, kteří vlastní routery AirPort Extreme.

[Aleš Janda]

No dobrá: „Pavel Emelyanov discovered that network namespace support for IPv6 was not correctly handled. A remote attacker could send specially crafted IPv6 traffic that would cause a system crash, leading to a denial of service. Only Ubuntu 8.10 and 9.04 were affected.“

Čili díky této chybě může vzdálený útočník způsobit zahlcení systému a jeho pád podstrčeným IPv6 paketem. Z popisu nevyplývá, že by se to mohlo stát běžným provozem. Nedokážu si představit, jak by mohl útočník zvenčí poslat IPv6 paket, když IPv6 poskytovatel nenabízí. Pokud však máte zlomyslné uživatele na lokální síti, kteří by systém mohli zahltit, pak ano, pak co řešit je.

[xm]

Nedokážu si představit, jak by mohl útočník zvenčí poslat IPv6 paket, když IPv6 poskytovatel nenabízí.

O 6in4, 6to4 či AYIYA tunelech jste nikdy neslyšel?

[Libor Chocholaty]

V tom pripade vsak vas poskytovatel konektivity IPv6 poskytuje. Ale neni to vas ISP, ale ten, kdo drzi druhy konec toho tunelu.

Proste si chcete za kazdou cenu rypnout, ze?

[xHire]

Mně to spíš připadá, že si rýpe druhá strana. Můj poskytovatel konektivity rozhodně IPv6 neposkytuje a podle jeho slov ani poskytovat neplánuje. Tvrdit, že poskytovatel mého tunelu je současně můj ISP, je k smíchu!

[Filip Jirsák]

Jistě, on ten poskytovatel IPv6 tunelu vám neposkytuje připojení k internetu, ale připojení k internetu. A to je přece něco úplně jiného.

[Andrej]

Nedokážu si představit, jak by mohl útočník zvenčí poslat IPv6 paket, když IPv6 poskytovatel nenabízí.

Tak běžnou věc si nedokážete představit? Pak je možná načase, abyste si doplnil znalosti. Nápověda: 6to4. Jak už jsem psal, přestože můj poskytovatel IPv6 nenabízí, naprosto běžně IPv6 používám. Nikoliv pouze v lokální síti, ale také pro komunikaci v celém IPv6 Internetu. Můj server tedy zcela samozřejmě nabízí všechny své služby (také) přes IPv6. Všechny notebooky v mé lokální síti mají (samozřejmě) veřejné IPv6 adresy. Tedy každý z nich by potenciálně mohl být ohrožený, pokud bych neměl správně nastavený firewall. (Nicméně správností nastavení svého firewallu si nikdo nemůže být 100% jist.)

 

 

[Aleš Janda]

Ok, dobře, beru O těch IPv6 tunelech už jsem slyšel, ale spíš to kolem mě zatím jen tak letělo

Trošku to poupravím: Pokud váš poskytovatel IPv6 nenabízí a současně vy sám IPv6 nepoužíváte, je aktualizace pravděpodobně zbytečná

[Andrej]

S tímhle už souhlasím.

Faktem zůstává, že spousta uživatelů používá IPv6, aniž by o tom věděli. Například prakticky každý majitel WiFi routeru AirPort Extreme, který má veřejnou IPv4 adresu, může používat IPv6 bez vlastního vědomí a přičinění. Stačí jen, aby jeho distribuce měla IPv6 povolený a to je celé. Router Advertisemet to všechno samovolně a bez zásahu uživatele nakonfiguruje. Pak si uživatelé myslí, že jsou v bezpečí za NATem, nicméně ve skutečnosti má každý z nich veřejnou IPv6 adresu přístupnou odkudkoliv...

[Laco]

Ma ten KSplice Uptrack zmysel instalovat pre domaceho uzivatela, alebo je lepsie nechat to na oficialne updaty?

[Aleš Janda]

Řekl bych, že se tím nedá příliš zkazit. V podstatě Ksplice Uptrack funguje jako paralelní aktualizace k těm systémovým. A dává to vždy na výběr co chcete a co ne - vidíte, co to dělá. Kromě toho ty aktualizace tam jsou častější - tak jednou za několik dní, kdežto celé jádro vyjde za ten půlrok jen několikrát.

[Lukáš Zapletal]

A já tak doufal, že to vyřeší moje problémy. Mně 9.04 jádro blbne, jako žádný jiný. Nikdy jsem na stejným hardwaru neměl s Ubuntu tolik problémů, jako s touto release

[Jendа]

Nainstaluj si novější/starší...

[Limoto]

Pořiď si distro bez releasů