В ядре Linux обнаружена критическая уязвимость (CVE-2014-4943), позволяющая поднять свои привилегии в системе. Уязвима только подсистема PPP, работающая совместно с L2TP (собирается при включённом параметре CONFIG_PPPOL2TP). Уязвимости подвержены все ядра начиная с 2.6.32, возможно другие ядра также уязвимы.Если pppol2tp собран в виде модуля ядра, можно обезопасить себя, добавив в /etc/modprobe.conf:alias pppox-proto-1 off
blacklist l2tp_ppp
В таком случае уязвимость можно проэксплуатировать только от учетной записи root.RHEL 5 не подвержен уязвимости, для RHEL 6 проблема актуальна, но только при условии, что администратор явно загрузил модуль ядра pppol2tp. Инструкции по устранению уязвимости можно найти здесь.В апстриме уже исправлено.Уязвимость исправлена по всей видимости в Ubuntu, о других дистрибутивах информации нет. О наличии рабочих эксплоитов пока не известно.



 linux kernel, opensource, безопасность, уязвимости
Ссылка: http://feedproxy.google.com/~r/org/LOR/~3/ZZGNtVQsin0/10680748