欢迎您来到腾讯云!积分商城

腾讯云腾讯云论坛

 找回密码
 立即注册
忘了密码?

扫一扫,访问微社区

快捷导航
搜索
查看: 1508|回复: 1

[安全通知] 关于Linux平台Libc Realpath缓冲区溢出漏洞安全预警通知

[复制链接]

219

主题

0

好友

1万

积分

腾讯云论坛管理组

Rank: 20Rank: 20

云币
33930
威望
13983
发表于 2018-1-19 16:58:31 |显示全部楼层
尊敬的腾讯云客户:
   您好,近日,腾讯云安全中心监测Linux平台Libc realpath() 被曝存在 缓冲区溢出漏洞(漏洞编号:CVE-2018-1000001,攻击者可利用该漏洞进行本地权限提升 攻击。
       为避免您的业务受影响,腾讯云安全中心建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

【漏洞详情】
     CVE-2018-1000001是一个Libc Realpath缓冲区下溢漏洞,漏洞的产生是由于GNU C库没有正确处理getcwd()系统调用返回的相对路径所致。 在受影响的系统中,攻击者可通过SUID binary获得root权限,漏洞发现者已将该漏洞利用代码公开。

【风险等级】
   高风险

【漏洞风险】
   本地权限提升

【影响范围】
  受影响操作系统如下:
  CentOS :CentOS 7
  Ubuntu :Ubuntu17.10、Ubuntu 16.04 LTS、Ubuntu 14.04 LTS
  Red Hat:Red Hat Enterprise Linux 7
  SUSE
        Openstack Cloud Magnum Orchestration 7  
        SUSE CaaS Platform ALL  
        SUSE Linux Enterprise Desktop 12 SP2   
        SUSE Linux Enterprise Desktop 12 SP3   
        SUSE Linux Enterprise Point of Sale 11 SP3  
        SUSE Linux Enterprise Server 11 SP3-LTSS   
        SUSE Linux Enterprise Server 11 SP4
        SUSE Linux Enterprise Server 12 SP1-LTSS   
        SUSE Linux Enterprise Server 12 SP2
        SUSE Linux Enterprise Server 12 SP3
        SUSE Linux Enterprise Server 12-LTSS   
        SUSE Linux Enterprise Server for Raspberry Pi 12 SP2   
        SUSE Linux Enterprise Software Development Kit 11 SP4   
        SUSE Linux Enterprise Software Development Kit 12 SP2   
        SUSE Linux Enterprise Software Development Kit 12 SP3   
        SUSE Linux Enterprise for SAP 12 SP1   
        SUSE OpenStack Cloud 6  
        openSUSE Leap 42.2  
        openSUSE Leap 42.3


【安全版本】
   目前SUSE、Ubuntu和Debian等已发布修复补丁,详情如下:
   SUSE修复信息详情见 https://www.suse.com/security/cve/CVE-2018-1000001/
   Debian glic升级到2.26-4版本,eglibc截至公告发布尚未修复
   Ubuntu 更新到以下版本:
        Ubuntu 17.10:libc6 2.26-0ubuntu2.1
        Ubuntu 16.04 LTS:libc6 2.23-0ubuntu10
        Ubuntu 14.04 LTS:libc6 2.19-0ubuntu6.14
    CentOS 7系列glibc受影响,目前官方暂未发布补丁,待发布后,腾讯云会第一时间更新公告内容,请知悉。

【修复建议】
  目前SUSE、Ubuntu、Fedora和Debian等已发布修复补丁,请及时安装系统安全更新
    1、如果您的服务器为Ubuntu系统,建议您参照上述【安全版本】更新相应的内核版本,更新方法如下:
  【Debian/Ubuntu 14.04/16.04 LTS系列用户】
    1)sudo apt-get update && sudo apt-get install libc6,更新软件源并进行libc库更新;
    2)dpkg -l|grep libc6检查当前版本是否为上述【安全版本】,如果是,则说明修复成功。

    2、如果您的服务器为CentOS系统,CentOS 5/6系列不受影响,目前官方暂未发布CentOS 7系列更新补丁,官方发布后腾讯云会第一时间在公告中更新,您届时可以参照如下方式进行更新操作
   【CentOS 7.X 系列用户】
    1)yum clean all && yum makecache,更新软件源;
    2)yum update glibc  -y,更新当前libc库版本;
    3)rpm -qa glibc,检查当前版本是否为上述修复版本,如果是,则说明修复成功。

【漏洞参考】
  1)社区通告:http://www.openwall.com/lists/oss-security/2018/01/11/5
  2)Redhat公告:https://access.redhat.com/security/cve/CVE-2018-1000001
  3)漏洞细节:https://www.halfdog.net/Security/2017/LibcRealpathBufferUnderflow/

2017/1/19

0

主题

0

好友

80

积分

小白[LV1]

Rank: 1

云币
310
威望
80
发表于 2018-1-26 05:22:16 来自手机 |显示全部楼层
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册
您需要登录后才可以发帖 QQ登录

联系我们|腾讯云平台|积分商城|腾讯云官方论坛    

GMT+8, 2018-11-20 09:01 , Processed in 1.171171 second(s), 28 queries .

Powered by Discuz! X2.5

© 2001-2012 Comsenz Inc.

回顶部