গত সপ্তাহে তিনটি দুর্বলতার খবর প্রকাশিত হয়েছিল লিনাক্স কার্নেলে তিনটি দুর্বলতা চিহ্নিত করা হয়েছিল এটি সম্ভবত কোনও স্থানীয় ব্যবহারকারীকে সিস্টেমে তাদের সুবিধা বাড়ানোর অনুমতি দেয়।
রিপোর্ট করা দুর্বলতার মধ্যে একটি (জন্য CVE-2021-26708) AF_VSOCK ঠিকানার সাথে সকেট বাস্তবায়নে পাওয়া গেছে, অতিথি এবং হোস্ট অ্যাপ্লিকেশনগুলির মধ্যে নেটওয়ার্কিংয়ের উদ্দেশ্যে। একাধিক পরিবহন (VSOCK একাধিক পরিবহন) পরিচালনা করতে লকগুলি কনফিগার করার সময় কোনও রেসের শর্তের কারণে সমস্যাটি দেখা দেয়।
যে গবেষক দুর্বলতা চিহ্নিত করেছেন তার দাবি একটি কার্যকরী শোষণ তৈরি করেছে যা আপনাকে ফেডোরা সার্ভার 33 এ এসএমইপি (সুপারভাইজার মোড এক্সিকিউশন প্রিভেনশন) এবং এসএমএপি (সুপারভাইজার মোড অ্যাক্সেস প্রিভেনশন) সুরক্ষা ব্যবস্থাকে বাইপাস করে মূল অধিকারগুলি পেতে অনুমতি দেয়। আপডেটগুলি সাধারণ বিতরণের পরে শোষণ কোড প্রকাশিত হবে।
দুর্বলতা v5.5-rc1 সাল থেকে প্রদর্শিত হয়েছে এবং আপডেট 5.10.13 এ স্থির করা হয়েছে। আরএইচইএলে, সমস্যাটি কেবল সংস্করণ 8.3 (কার্নেল 4.18.0-240) থেকে উদ্ভাসিত হয়েছে, যা ভিএসওকে সমর্থন সরবরাহ করেছিল। দেবিয়ান এবং সুস এর স্থিতিশীল শাখাগুলি সমস্যা দ্বারা প্রভাবিত হয় না। উবুন্টুতে, দুর্বলতার স্থিতি এখনও নির্ধারণ করা হয়নি।
আরেকটি দুর্বলতা রিপোর্ট করা হয় (জন্য CVE-2021-3347) কি futex ম্যানিপুলেশন মাধ্যমে কার্নেল স্তরের কোড প্রয়োগের অনুমতি দিতে পারে। একটি ব্যতিক্রম পরিচালনা করার সময় ইতিমধ্যে মুক্ত মেমরি অঞ্চল (ব্যবহারের পরে মুক্ত) অ্যাক্সেস করার কারণে সমস্যাটি দেখা দেয়।
কোনও শোষণের অস্তিত্ব সম্পর্কে এখনও কোনও তথ্য নেই, তবে 2014 সালে পাওয়া পুরানো ফিউটেক্স দুর্বলতার CVE-3153-2014 এর শোষণ, যা গত মাসে প্রকাশ হয়েছিল, এই শ্রেণীর সমস্যার শোষণের সম্ভাবনা নির্দেশ করতে পারে।
বিষয়টি ২০০৮ সাল থেকে প্রায় হয়েছে এবং সম্ভাব্যভাবে সমস্ত বিতরণকে প্রভাবিত করে। দুর্বলতা ইতিমধ্যে সুস, ফেডোরা এবং আংশিকভাবে দেবিয়ানে স্থির করা হয়েছে। উবুন্টু এবং আরএইচইএল-তে সমস্যাটি এখনও ঠিক করা হয়নি।
দীর্ঘস্থায়ী ইস্যুতে সম্বোধন করা যেখানে ব্যবহারকারীর স্থান ফুটেক্সের অংশ, সেখানে লেখা যায় না। কার্নেলটি একটি বেমানান অবস্থায় ফিরে আসে যা সবচেয়ে খারাপ ক্ষেত্রে, স্ট্যাকড টাস্ক কার্নেলের একটি ইউএএফ তৈরি করতে পারে।
সমাধানটি হ'ল একটি সামঞ্জস্যপূর্ণ কার্নেল রাষ্ট্র সেট করা যা ফিউটেক্সে ভবিষ্যতের ক্রিয়াকলাপকে ব্যর্থ করে দেয় কারণ ব্যবহারকারীর স্পেস এবং কার্নেল স্পেসের অবস্থাটি বেমানান। এটি কোনও সমস্যা নয় যেহেতু পিআই কাজ করে মৌলিকভাবে একটি কার্যকরী আরডাব্লু ম্যাপিং এবং যদি ব্যবহারকারী স্থানের প্রয়োজন হয়
গালিটি এটির নীচে টানুন, তারপরে আপনি যে টুকরোগুলি অর্ডার করেছেন সেগুলি ফেলে রাখতে পারেন।
দুর্বলতার শেষ রিপোর্ট করা হয় (জন্য CVE-2021-20226) ইএন অ্যাসিঙ্ক্রোনাস আই / ও ইন্টারফেস io_uring, IORING_OP_CLOSE ক্রিয়াকলাপ সম্পাদনের আগে কোনও বস্তুর অস্তিত্বের ভুল যাচাইকরণের কারণে ফাইল বর্ণনাকারীদের প্রক্রিয়াকরণ করার সময় ইতিমধ্যে মুক্ত মেমরির একটি ব্লক অ্যাক্সেসের কারণে সৃষ্টি হয়েছে (
রেড হ্যাট অনুসারে, দুর্বলতা পরিষেবা বা মেমরি ফুটো অস্বীকারের মধ্যে সীমাবদ্ধ কার্নেলের, তবে জিরো ডে ইনিশিয়েটিভ অনুসারে, দুর্বলতা স্থানীয় ব্যবহারকারীকে কার্নেল স্তরে কোড চালানোর অনুমতি দেয়।
লিনাক্স কার্নেলের আইও_িউরিং-এ একটি মুক্ত-মুক্ত ব্যবহারের ত্রুটি পাওয়া গেছে যেখানে ব্যবহারকারীদের অধিকার সহ স্থানীয় আক্রমণকারী সিস্টেমে পরিষেবা সমস্যা অস্বীকার করতে পারে
সমস্যাটি ব্যবহারের সময় রেফারেন্স কাউন্টার ফাইলকে বাড়িয়ে না দিয়ে কোনও বস্তুর ক্রিয়াকলাপ সম্পাদনের আগে কোনও অস্তিত্বের অস্তিত্বের বৈধতার অভাব থেকে উদ্ভূত হয়।
ক্ষতিগ্রস্থতা কার্নেল 5.5 থেকে মুক্তি পেয়েছে এবং কার্নেল 5.10.2-এ স্থির করা হয়েছে (অন্যান্য উত্স অনুসারে, কার্নেল 5.9-আরসি 1 এর দুর্বলতা দূরীকরণের সাথে একটি প্যাচ অন্তর্ভুক্ত করা হয়েছিল)। ফেডোরায় ইতিমধ্যে সমস্যাটি স্থির করা হয়েছে।
আরএইচইএল এবং ডেবিয়ানের স্থিতিশীল শাখাগুলিতে সমস্যাটি উপস্থিত হয় না। উবুন্টুতে দুর্বলতার স্থিতি এখনও নির্ধারণ করা হয়নি।
পরিশেষে আপনি যদি এটি সম্পর্কে আরও জানতে আগ্রহী হন, আপনি নীচের লিঙ্কগুলিতে বিশদটি পরীক্ষা করতে পারেন।
CVE-2021-26708, CVE-2021-3347, জন্য CVE-2021-20226