「Linux」のセキュリティ--独自CVE公開とサポート期間短縮の影響
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 川村インターナショナル 2024-05-01 07:30 「Linux」カーネル開発の動向を知りたければ、「Linux Kernel Mailing List」を購読するといい。Linuxカーネルの実状を深いレベルで知りたいが、細かな部分まですべて追跡したくはないという場合は、「Linux Weekly News」（LWN）を購読しよう。 だが、Linuxカーネルの現状に関する幅広い概要を手早く知りたいなら、筆者と同じことをするのがいいだろう。それは、Linuxカーネルの開発者でLWNの編集長であるJonathan Corbet氏が、Linuxの大規模カンファレンスで実施したLinuxカーネルの現状に関するプレゼンテーションを見ることだ。 シアトルで開催の「Open Source
多数の「Linux」ディストリビューションに影響する脆弱性--パッチ適用を
Qualysの脅威調査部門（TRU）は米国時間10月3日、GNU Cライブラリ（glibc）でセキュリティーホールを発見したと報告した。この脆弱性（CVE-2023-4911）は「Looney Tunables」と呼ばれ、深刻度をスコアで表す「脆弱性評価システム（CVSS）」では7.8、「重要」（Important）と評価されている。 最もリスクが高い「深刻」（critical）ではないものの、このglibcの脆弱性はバッファオーバーフローであるため、厄介な問題だ。さらに、多数の「Linux」ディストリビューションに含まれている。 TRU の研究者らによると、「（ローカル権限を昇格して完全なroot権限を付与する）この脆弱性を、『Fedora』37と38、『Ubuntu』22.04と23.04、『Debian』12と13のデフォルトインストール」で、実際に悪用できたという。また、他のディス
40％のUbuntuに影響大の深刻な脆弱性「GameOver(lay)」、2020年に修正されたはずなのに改めて発見されてしまう非常事態
Linuxディストリビューションの一つであるUbuntuにて、ローカル権限昇格の脆弱(ぜいじゃく)性「GameOver(lay)」が発見されました。CVEは「CVE-2023-2640」および「CVE-2023-32629」の2つで、ともに修正パッチが2023年7月24日にリリース済みであるものの、脆弱性の内容が2020年にLinuxカーネルで修正された「CVE-2021-3493」と同じものとなっており、「なぜ修正済みだったはずの脆弱性が残っていたのか」について今回の脆弱性の発見者であるクラウドセキュリティ企業Wizが解説しています。 GameOverlay Vulnerability Impacts 40% of Ubuntu Workloads | Wiz Blog https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability Wizに
Ubuntuのモジュールに深刻な脆弱性、40%のUbuntuユーザーに影響か
Wizは7月26日(米国時間)、「GameOverlay Vulnerability Impacts 40% of Ubuntu Workloads｜Wiz Blog」において、UbuntuのOverlayFSモジュールに複数の深刻な脆弱性があるとして、注意を呼び掛けた。この問題の影響を受けるUbuntuのバージョンがクラウドで広く普及しているため、Ubuntuユーザーの約40%がこれらの欠陥に対して脆弱であると警告している。 GameOverlay Vulnerability Impacts 40% of Ubuntu Workloads｜Wiz Blog OverlayFSは、Linuxで広く利用されているファイルシステム。コンテナの普及により事前に構築されたイメージに基づく動的なファイルシステムのデプロイが可能となり、人気を集めるようになった。ただし、このファイルシステムには多くの論
Linuxカーネルに重大な脆弱性「StackRot」、ただちに確認を
The Hacker Newsは7月6日(現地時間)、「Researchers Uncover New Linux Kernel 'StackRot' Privilege Escalation Vulnerability」において、Linuxカーネルに深刻な脆弱性が発見されたと伝えた。新たに見つかった脆弱性は「StackRot」と名付けられており、現時点ではこの欠陥が悪用された形跡はないと報告している。 StackRotは「 CVE-2023-3269」として追跡されているLinuxカーネルの脆弱性。Linuxのバージョン6.1から6.4に影響を与える可能性があり、Red Hat Customer Portalによる共通脆弱性評価システム(CVSS: Common Vulnerability Scoring System)v3のスコア値では7.8と分類され、深刻度は重要(High)と評価さ
VirtualBox On Linux Affected By Security Vulnerability Leaking Host Data To Guests - Phoronix
Show Your Support: This site is primarily supported by advertisements. Ads are what have allowed this site to be maintained on a daily basis for the past 19+ years. We do our best to ensure only clean, relevant ads are shown, when any nasty ads are detected, we work to remove them ASAP. If you would like to view the site without ads while still supporting our work, please consider our ad-free Phor
Linuxカーネルに特権昇格可能な重大な脆弱性が発見される、Android端末にも影響あり
Android端末にも搭載されているLinuxのカーネルに任意のファイルを上書きできる脆弱(ぜいじゃく)性が発見されました。ルート権限が必要なファイルについても上書き可能で特権昇格を行うことができるため、非常に影響の大きいものとなっています。 The Dirty Pipe Vulnerability — The Dirty Pipe Vulnerability documentation https://dirtypipe.cm4all.com/ この脆弱性は「Dirty Pipe(CVE-2022-0847)」と名付けられている通りLinuxで複数のプログラムの通信を担うパイプに起因するものとのこと。Linuxには一度読み込んだファイルをメモリ上にキャッシュとして置いておくことで再度アクセスする際の読み込み速度を高速化する「ページキャッシュ」という仕組みが存在していますが、Dirty P
'Dirty Pipe' Linux vulnerability discovered
The best ethical hacking certifications Becoming a certified ethical hacker can lead to a rewarding career. Here are our recommendations for the top certifications. Read now Kellermann explained that the vulnerability affects Linux Kernel 5.8 and later versions but was fixed in Linux 5.16.11, 5.15.25 and 5.10.102. "It all started a year ago with a support ticket about corrupt files. A customer com
Linux has been bitten by its most high-severity vulnerability in years
Linux has yet another high-severity vulnerability that makes it easy for untrusted users to execute code capable of carrying out a host of malicious actions, including installing backdoors, creating unauthorized user accounts, and modifying scripts or binaries used by privileged services or apps. Dirty Pipe, as the vulnerability has been named, is among the most serious Linux threats to be disclos
Linuxの脆弱性修正はどのベンダーよりも早かった--グーグルのProject Zeroが発表
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2022-02-21 11:48 GoogleのセキュリティチームであるProject Zeroが発表したレポートで、Linuxの開発者が、Googleを含む他のどのベンダーも早くセキュリティバグを修正していたことが分かった。 レポートでは、2019年1月から2021年12月の間に報告された修正済みのバグについての数字を取り上げている。Project Zeroによれば、Linuxの脆弱性はわずか平均25日で修正されていた。それに加え、Linuxの開発者は、セキュリティホールの修正にかかる時間も大幅に短縮しており、2019年には平均32日かかっていたのに対して、2021年には15日にまで改善された。 この結果は、競合する他のベンダーよりもはるかに優れたものだ。例えば、Appl
2022年2月1日 Qualys、主要Linuxディストリビューションに「Polkit」の脆弱性を警告 | gihyo.jp
Linux Daily Topics 2022年2月1日Qualys、主要Linuxディストリビューションに「Polkit」の脆弱性を警告 クラウドセキュリティベンダのQualysは1月25日（米国時間）、LinuxやUNIX系OSのほとんどに含まれるコンポーネント「Polkit」（旧PolicyKit）の脆弱性「PwnKit」に関するブログを公開した。同ブログによれば、Ubuntu、Debian、Fedora、CentOSなどメジャーなLinuxディストリビューションのほとんどが本脆弱性の影響を受けることから、早急な対応が求められている。 PwnKit: Local Privilege Escalation Vulnerability Discovered in polkit’s pkexec (CVE-2021-4034) | Qualys Security Blog Polki
CVE-2021-3560 in polkit auth system service affects most of Linux distros
Hackers may have accessed thousands of accounts on the California state welfare platform | Brokewell Android malware supports an extensive set of Device Takeover capabilities | Experts warn of an ongoing malware campaign targeting WP-Automatic plugin | Cryptocurrencies and cybercrime: A critical intermingling | Kaiser Permanente data breach may have impacted 13.4 million patients | Over 1,400 Crus
Linuxでプロセスの権限を設定するpolkit、7年以上前から存在した特権昇格の脆弱性が見つかる | スラド セキュリティ
多くのLinuxディストリビューションに標準でインストールされるシステムサービス「polkit」に7年以上前から存在していた特権昇格の脆弱性が修正された(The GitHub Blogの記事、 The Registerの記事、 Computingの記事、 CVE-2021-3560)。 polkitは非特権プロセスが特権プロセスと通信するためのポリシーを定義し、認証処理を行うツールキットだ。systemdがpolkitを使用するため、systemdを使用するLinuxディストリビューションはpolkitも使用することになる。今回発見された脆弱性は、polkitが認証処理を行っている最中にリクエスト元のプロセスを終了させることで、rootプロセスからのリクエストとして認証してしまうというものだ。 この脆弱性が導入されたのは2013年11月のコミット(バージョン0.113)だが、メジャーなLi
Apple M1チップに脆弱性「M1RACLES」発見、Linuxの移植中に見つかる
LinuxをApple M1 Macに移植する作業に取り組んでいる開発者が、Apple M1チップに隠れチャンネルの脆弱性（Covert Channel Vulnerability）が存在すると発表した。この脆弱性は「M1RACLES」と呼ばれており、OSの提供する通信手段を使うことなく、秘密裏にプロセス間でデータ交換を行うことを可能にするという。これは異なる権限レベルで動作するプロセス間でも動作するという。 脆弱性の詳細は次のページにまとまっている。 M1RACLES: M1ssing Register Access Controls Leak EL0 State M1RACLES: M1ssing Register Access Controls Leak EL0 State Apple M1チップにLinuxを移植する作業を行っていた開発者がM1の動作を調査している間に、このプロセッ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Linux Kernel に解放済みメモリの使用に関する脆弱性 | ScanNetSecurity
Linuxにコンテナエスケープの脆弱性 該当条件の確認と更新を
Twelve-Year-Old Linux Vulnerability Discovered and Patched - Schneier on Security
Amazon Linux1, Amazon Linux 2, Amazon Linux 2022 の脆弱性情報はどこで参照できますか？ | DevelopersIO
Exploitation of a double free vulnerability in Ubuntu shiftfs driver (CVE-2021-3492)