Dana 24. srpnja 2023. godine, Ubuntu je izdao zakrpe za dvije lokalne ranjivosti eskalacije ovlasti (engl. local privilege escalation) ranjivosti su označene kao CVE-2023-2640 i CVE-2023-32629, koje su otkrivene u OverlayFS modulu Linux kernel-a.

Ranjivosti CVE-2023-2640 i CVE-2023-32629 su uzrokovane provjerom dozvola (engl. permission check) i obje imaju istu CVSS ocjenu 7.8 od 10.

Tehnički detalji ranjivosti:

Ove dvije ranjivosti su specifične za Ubuntu sustav zbog promjena koje je Ubuntu uveo u OverlayFS modul 2018. godine, pošto te modifikacije prvotno nisu predstavljale rizike. Međutim, nakon otkrića i ispravljanja sigurnosne ranjivosti u Linux kernel-u 2020. godine, modifikacije OverlayFS modula kasnije su dovele do nezakrpljenog ranjivog tijeka (engl. unpached vulnerable flow) u Ubuntu sustavu.

Zahvaćeni proizvodi: 

• Ubuntu 23.04 (Lunar Lobster) Verzija 6.2.0

• Ubuntu 22.10 (Kinetic Kudu) Verzija 5.19.0

• Ubuntu 22.04 LTS (Jammy Jellyfish) Verzije 5.19.0 i 6.2.0

• Ubuntu 20.04 LTS (Focal Fossa) Verzija 5.4.0 (Pogođeno samo CVE-2023-32629)

• Ubuntu 18.04 LTS (Bionic Beaver) Verzija 5.4.0 (Pogođeno samo CVE-2023-32629)

Prema Ubuntu službenim sigurnosnim objavama za oba CVE-a, informacije se još uvijek ažuriraju kako više podataka postaje dostupno.

 

Preporuke:

Preporuča se pregled sigurnosnih obavijesti Ubuntu-a i primjenu potrebnih ažuriranja na najnovije dostupne verzije.

 

Više informacija moguće je pročitati na poveznicama u nastavku:

[inicijalna obavijest 31.7.2023 - 15:31]