Exploração de COW suja CVE-2016-5195

Question

Esta manhã descobrimos esta façanha CVE-2016-5195 Como nós corrigimos o kernel do CentOS? existe algum patch disponível?

link

    

Answer 1

Espere pelo RedHat (o fornecedor do CentOS) para emitir uma atualização , então o CentOS vai portar essa atualização para os repositórios de atualização do CentOS, para que você possa simplesmente corrigir via yum update como normal.

O DirtyCOW não é tão assustador quanto uma vulnerabilidade. Isso requer que o atacante já tenha algum tipo de acesso ao seu sistema.

O RedHat classificou-o como um Pontuação CVSSv3 de 7.8 / 10 , o que significa que não é algo que eu corrigisse fora do ciclo de atualização mensal normal. É muito mais importante que você atualize regularmente seu sistema pelo menos mensalmente, como tais vulnerabilidades dificilmente são raras .

Atualizar : O CentOS lançou uma correção (Obrigado, @Roflo!). Executar um yum update deve atualizar seu sistema com um kernel corrigido.

    

Answer 2

Ainda não posso comentar ...

Existe um patch disponível: link

Verifique se o CentOS tem o kernel com patches, se não: decida entre assumir os riscos de compilar o Linux ou esperar que ninguém execute código arbitrário em seu sistema e realmente use esse exploit para fazer algo.

    

Answer 3

Você tem que esperar por uma atualização do kernel:

Quanto a 16:17 (GMT -3), nenhum pacote foi lançado com a correção:

[root@centos7 ~]# yum upgrade
Loaded plugins: fastestmirror
base                                                                                                                                                 | 3.6 kB  00:00:00
extras                                                                                                                                               | 3.4 kB  00:00:00
updates                                                                                                                                              | 3.4 kB  00:00:00
Loading mirror speeds from cached hostfile
 * base: centos.ar.host-engine.com
 * epel: archive.linux.duke.edu
 * extras: centos.ar.host-engine.com
 * updates: centos.ar.host-engine.com
No packages marked for update

[root@centos7 ~]# rpm -q --changelog kernel  | grep -i CVE-2016-5195
[root@centos7 ~]# uname -a
Linux centos7.tbl.com.br 3.10.0-327.36.2.el7.x86_64 #1 SMP Mon Oct 10 23:08:37 UTC 2016 x86_64 x86_64 x86_64 GNU/Linux

O mesmo se aplica ao CentOS6.

Existe uma solução alternativa para este problema usando systemtap , mas parece que apenas funciona se você está usando um kernel com debuginfo ativado.

tl, dr : aguarde a atualização do kernel. Outras distros já aplicaram o patch.

    

Answer 4

uma atualização do Kernel para 3.10.0-327.36.3 está disponível via yum update, você pode vê-la disponível aqui também link