現在位置: ホーム / セキュリティ ブログ / linux kernelの複数の脆弱性(CVE-2015-8767, CVE-2016-4565)

linux kernelの複数の脆弱性(CVE-2015-8767, CVE-2016-4565)

6/24(JST)に、Red Hat Enterprise Linuxから、linux kernelの複数の脆弱性(CVE-2015-8767, CVE-2016-4565)の修正が報告されています。影響度合いも"Important"のため、ここでは、これらの脆弱性について簡単にまとめてみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

6/24(JST)に、Red Hat Enterprise Linuxから、linux kernelの複数の脆弱性(CVE-2015-8767, CVE-2016-4565)の修正が報告されています。影響度合いも"Important"のため、ここでは、これらの脆弱性について簡単にまとめてみます。

 


関連するCVE

CVE-2015-8767

CVE-2016-4565

Priority

Important

影響するバージョン

  • CVE-2015-8767

    4.3以前のKernel

  • CVE-2016-4565

    4.5.3以前のKernel

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2015-8767
    • ローカルユーザによる細工されたsctp_accept呼び出しによるDoSの可能性

    • 重要度 - High

    • 4.3以前のLinux Kernelのnet/sctp/sm_sideeffect.cに問題が有り、ソケットとロックの関係を適切に管理していませんでした。これにより、細工されたsctp_accept呼び出しを使うことによって、ローカルユーザがDoSを引き起こすことが出来る可能性があります。

  • CVE-2016-4565
    • ローカルの非特権ユーザーによる特権昇格の可能性

    • 重要度 - High

    • 4.5.3以前のLinux KernelのInfiniBandスタックがカーネルメモリを上書きする可能性があり、InfiniBand関係のカーネルモジュールをロードしているシステム上でローカルの非特権ユーザーが特権昇格を行える可能性が有ります。


主なディストリビューションの対応方法

CVE-2015-8767

CVE-2016-4565


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat Satelliteを使うと管理が便利でしょう。

また、kernelの更新のため、システムの再起動が必要になります。kernel更新後の再起動時にはpacemakerなどOSSのクラスタ製品LifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

Security Advisory Important: kernel security and bug fix update


[セミナー告知]

7/22にノベル株式会社様と共催で「クラウド・OSSセキュリティセミナー」と題して、OpenStack基盤自体のセキュリティに関して、デモを交えたセミナーを行います。

https://sios.secure.force.com/webform/SeminarDetail?id=70110000000sotpAAAがプログラム内容と申し込みの

詳細になりますので、是非お申し込み下さい。

OSSよろず相談室

サイオスOSSよろず相談室(2)

問い合わせボタン