肮脏的COW漏洞CVE-2016-5195

8

今天早上，我们发现了这个漏洞。CVE-2016-5195我们如何修补CentOS内核？有可用的补丁程序吗？

http://www.cyberciti.biz/faq/dirtycow-linux-cve-2016-5195-kernel-local-privilege-escalation-vulnerability-fix/

centos security linux-kernel

— 沙爹
source

2

为什么投票否决是一个危险的漏洞？

— GAD3R

@ GAD3R哦，idk，似乎是VLQ

— 猫

1

该漏洞已经修补在某些Linux的主要版本，只需更新那么你的系统验证通过执行漏洞

— GAD3R

6

等待RedHat（CentOS上游供应商）发布更新，然后CentOS将把该更新移植到CentOS更新存储库中，因此您可以yum update像往常一样简单地进行修补。

DirtyCOW并没有那么可怕。它要求攻击者已经具有某种方式的Shell访问您的系统。

RedHat的CVSSv3评分为7.8 / 10，这意味着我不在正常的每月补丁程序周期之外进行补丁。更重要的是，您至少每个月定期对系统进行一次修补，因为这种漏洞很少见。

更新：CentOS已发布了一个修复程序（谢谢@Roflo！）。运行yum update可以使您的系统使用补丁内核进行更新。

— 不朽的南瓜
source

2

我谨对此有所不同，是否令人恐惧。WordPress和drupal漏洞对于让不需要的用户运行非特权命令非常有用。我还遇到了一个攻击者，该攻击者为非特权用户使用了伪造的密码，并在一周前使用它来登录堡垒主机，几年前有2个升级漏洞。幸运的是我已经打过补丁

— Rui F Ribeiro

1

是的，人们必须时刻注意自己的具体情况。如果您运行的软件不安全，或者运行的应用程序可能允许不受信任的用户可执行访问权限，则需要将此漏洞视为严重漏洞。不过，在大多数情况下，花在玩漏洞打磨上的时间首先可以更好地用于加固服务器，以防止不受信任的访问。

— 不朽的挤压，2013年

1

CentOS 上传了一个更新。也许您想更新答案？

— 罗夫洛

@Roflo感谢您的注意。答案已更新。

— 不朽的挤压，2013年

1

无法发表评论...

有可用的补丁程序：https : //git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=19be0eaffa3ac7d8eb6784ad9bdbc7d67ed8e619

检查CentOS是否具有已修补的内核（如果没有）：在冒险自己编译Linux还是希望没人能在系统上执行任意代码并实际使用该漏洞来做点事情之间做出决定。

— 奥斯卡·斯科格（Oskar Skog）
source

1

您必须等待内核升级：

至于16:17（GMT -3），没有发布带有此修复程序的软件包：

[root@centos7 ~]# yum upgrade
Loaded plugins: fastestmirror
base                                                                                                                                                 | 3.6 kB  00:00:00
extras                                                                                                                                               | 3.4 kB  00:00:00
updates                                                                                                                                              | 3.4 kB  00:00:00
Loading mirror speeds from cached hostfile
 * base: centos.ar.host-engine.com
 * epel: archive.linux.duke.edu
 * extras: centos.ar.host-engine.com
 * updates: centos.ar.host-engine.com
No packages marked for update

[root@centos7 ~]# rpm -q --changelog kernel  | grep -i CVE-2016-5195
[root@centos7 ~]# uname -a
Linux centos7.tbl.com.br 3.10.0-327.36.2.el7.x86_64 #1 SMP Mon Oct 10 23:08:37 UTC 2016 x86_64 x86_64 x86_64 GNU/Linux

同样适用于CentOS6。

使用存在一个解决此问题的方法systemtap，但是，如果您使用的是debuginfo启用了内核的内核，这似乎可以解决。

tl，dr：等待内核升级。其他发行版已经应用了该补丁。

0

现在可以通过yum update升级到3.10.0-327.36.3的内核，您也可以在这里看到它的升级http://mirror.centos.org/centos-7/7.2.1511/updates/x86_64/Packages/

— 朱利奥
source