Canonical a publié aujourd’hui une nouvelle mise à jour de sécurité du noyau Linux pour les utilisateurs d’Ubuntu 22.10 (Kinetic Kudu) afin de résoudre neuf vulnérabilités de sécurité.

La nouvelle mise à jour de sécurité du noyau pour Ubuntu 22.10 correctifs CVE-2022-2196une vulnérabilité où l’implémentation de KVM VMX n’a ​​pas réussi à gérer l’isolation de prédiction de branche indirecte entre les machines virtuelles L1 et L2, permettant à un attaquant dans une machine virtuelle invitée d’exposer des informations sensibles du système d’exploitation hôte ou d’autres machines virtuelles invitées.

Également patché sont CVE-2022-42328 et CVE-2022-42329deux conditions de concurrence découvertes dans le pilote backend du réseau Xen qui pourraient permettre à un attaquant de provoquer un déni de service (kernel deadlock), ainsi que CVE-2023-0266une vulnérabilité d’utilisation après libération découverte dans le sous-système ALSA (Advanced Linux Sound Architecture) qui pourrait permettre à un attaquant local de planter le système en provoquant un déni de service.

De plus, le nouveau Ubuntu 22.10 mise à jour de sécurité du noyau adresses CVE-2023-0469une vulnérabilité use-after-free découverte dans le sous-système io_uring, et CVE-2023-1195, une autre vulnérabilité utilisateur après libération trouvée dans le système de fichiers réseau CIFS. Ces deux vulnérabilités pourraient permettre à un attaquant local de provoquer un déni de service (crash du système) ou d’exécuter du code arbitraire.

Une condition de concurrence a été corrigée dans cette mise à jour du noyau, à savoir CVE-2022-4382découvert par Gerald Lee dans l’implémentation du système de fichiers USB Gadget, qui pourrait conduire à une vulnérabilité d’utilisation après libération dans certaines situations et permettre à un attaquant local de planter le système en provoquant un déni de service ou éventuellement d’exécuter du code arbitraire.

Enfin et surtout, le nouveau Ubuntu 22.10 correctifs de mise à jour de sécurité du noyau CVE-2023-0045une faille découverte par José Oliveira et Rodrigo Branco dans l’implémentation prctl syscall qui empêchait le noyau de se protéger contre les attaques indirectes par prédiction de branche et permettait à un attaquant local d’exposer des informations sensibles, ainsi que CVE-2023-23559une vulnérabilité de débordement d’entier trouvée dans le pilote USB RNDIS qui pourrait permettre à un attaquant local disposant d’un accès physique de provoquer un déni de service (plantage du système) ou d’exécuter du code arbitraire en branchant un périphérique USB malveillant.

Canonical exhorte tous les utilisateurs d’Ubuntu 22.10 (Kinetic Kudu) à mettre à jour leurs systèmes dès que possible pour Linux-image 5.19.0.38.34 noyau pour les systèmes 64 bits ou Linux-image-raspi 5.19.0-1015.22 pour les systèmes Raspberry Pi. Après avoir installé les nouvelles versions du noyau, assurez-vous de redémarrer votre système, ainsi que de reconstruire et de réinstaller tous les modules de noyau tiers que vous pourriez avoir installés.

Dernière mise à jour il y a 6 jours