BDU:2016-02229 (CVE-2009-4131) — уязвимость операционной системы Linux

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Уязвимость реализации ядра EXT4_IOC_MOVE_EXT ioctl файловой системы ext4 операционной системы Linux связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему локально, перезаписать произвольные файлы с помощью специально созданного запроса, связанного с недостаточной проверкой прав доступа

Кого касается и что делать

• Уязвимое ПО: Linux (Сообщество свободного программного обеспечения) — версии до 2.6.32
• Что делать: уязвимость устранена производителем — применить исправления: www.kernel.org
• Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2016-02229 · CVE-2009-4131
Уровень опасности	Высокий (базовая оценка CVSS 2.0 — 7.2)
Вектор CVSS 2.0	AV:L/AC:L/Au:N/C:C/I:C/A:C нужен локальный доступ, низкая сложность, без аутентификации, полное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость операционной системы Linux, позволяющая нарушителю перезаписать произвольные файлы
Даты	Опубликована: 03.11.2016 · Обновлена ФСТЭК: 23.03.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем)
Тип ошибки	CWE-264 — разрешения, привилегии и средства управления доступом
Класс уязвимости	Уязвимость кода

Уязвимое ПО

• Linux (Сообщество свободного программного обеспечения) — до 2.6.32 · операционная система

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• www.kernel.org/pub/linux/kernel/v2.6/snapshots/patch-2.6.…

Источники

• bugzilla.redhat.com/show_bug.cgi
• www.vupen.com/english/advisories/2009/3468
• www.securityfocus.com/bid/37277
• www.kernel.org/pub/linux/kernel/v2.6/snapshots/patch-2.6.…
• lkml.org/lkml/2009/12/9/255
• www.redhat.com/archives/FEDORA-package-announce/2009-Dece…
• www.ubuntu.com/usn/USN-869-1
• www.theregister.co.uk/2009/12/11/linux_kernel_bugs_patched/
• www.mandriva.com/security/advisories
• lists.opensuse.org/opensuse-security-announce/2010-01/msg…