A Canonical új Linux kernel biztonsági frissítéseket tett közzé az összes támogatott Ubuntu kiadáshoz, amelyek több, különböző biztonsági kutatók által a közelmúltban felfedezett biztonsági rést orvosolnak.

Az új Linux kernel biztonsági javítások, amelyek 19 sebezhetőséget orvosoltak, elérhetőek:

Az elmúlt napokban az AMD két biztonsági figyelmeztetést tett közzé, amelyben lényegében az összes régebbi és újabb asztali, mobil és szerver processzor érintett. A hibák a magastól az alacsonyig mindenféle besorolást kaptak, és az összes hiba száma eléri a 30-at. Így az AMD CPU-val szerelt eszközök jelenlegi BIOS verzióját érdemes feljegyezni és az alaplapgyártó honlapját meglátogatni a már elkészült, vagy hamarosan elkészülő BIOS frissítések érdekében amelyben már az újabb AGESA került integrálásra.

Az új kernel biztonsági frissítések mindössze egy héttel az előző, több mint 20 sebezhetőséget kezelő nagy adag után érkeznek, és az Ubuntu 22.10, Ubuntu 22.04 LTS, Ubuntu 20.04 LTS, Ubuntu 18.04 LTS, valamint az Ubuntu 16.04 ESM és Ubuntu 14.04 ESM rendszerekhez érhetőek el.

Az új Linux kernel biztonsági javítások elérhetőek:

Októberben írtuk hírt arról, hogy Két új Microsoft Exchange zero-day sebezhetőségre derült fény (ProxyNotShell). Miután az első javítása a problémának nem sikerült, November 8-án megjelent frissítés hozott megnyugtató javítást ezzel a hibával és újabb két hibával (CVE-2022-41123, CVE-2022-41080, összefoglaló néven: OWASSRF) kapcsolatban is, mert az első verzió megkerülhető megoldást hozott csak. Ez utóbbi kettő szintén jogosultságemelést tesz lehetővé, amit a Microsoft is mindkét esetben (1, 2) elismert és javított 2022. november 8-án. Összesen 180 ezernél több Microsoft Exchange szerver üzemel publikusan a világban (ebből 100 ezer Európában, 50 ezer Észak-Amerikában), és a mai napig ezekből 62 000 sebezhető (ebből Európából 32 ezer, 18 ezer Észak-Amerikában) - a Shadowserver adatai alapján. Ezek az adatok a CVE-2020-0688, CVE-2021-26855, CVE-2021-27065, CVE-2022-41082 sérülékenység alapján készült, amelyeket mindenképpen sürgősen be kell foltozni, a további nagyobb problémák, például zsarolóvírusos támadások elkerülése végett. Ezeket a sebezhetőségeket többek között a Play zsarolóvírus terjesztésére is felhasználják napjainkban. Emlékeztetőül a a  CVE-2022-41082 hibáról ami távoli kódfuttatást (RCE) teszi lehetővé és a CVE-2022-41040 hibáról, ami egy SSRF (Server-Side Request Forgery) sebezhetőség:

A Zero Day Initiative (ZDI) nemrégiben nyilvánosságra hozott egy kritikus súlyosságú sebezhetőséget, amelyet a Linux Kernel 5.15 LTS és újabb verzióiban fedeztek fel, az SMB (ksmbd) Kernel space implementációjának megvalósításával kapcsolatban. A hiba a kernel által kezelt bizonyos SMB2 parancsok feldolgozásában van.

Az NVIDIA biztonsági frissítést (és bejelentést) adott ki a Linux-hoz és a Windows-hoz készült GPU-kijelző-illesztőprogramjához, amely egy olyan súlyos hiba javítását tartalmazza, amelyet a fenyegető szereplők többek között kódfuttatásra és jogosultságnövelésre használhatnak ki.

A két legkritikusabb sebezhetőség a következőek:

A kritikus hiba végül inkább csak magas besorolásúvá szelídült, de így is mindenki, aki OpenSSL-t 3.0.0-3.0.6 közötti verziókat használ valamilyen formában, frissítse az OpenSSL szoftverkönyvtárat a 2022. november elsejétől elérhető verziókra – így két CVE javítását is megkapja.

Az OpenSSL projekt a hibákról így ír:

A nyílt forráskódú Apache Commons Text programkönyvtár távoli kódfuttatási hibája miatt néhányan aggódnak, hogy a következő Log4Shell lehet belőle. De a legtöbb kiberbiztonsági kutató szerint azonban a jelenlegi helyzet közel sem olyan aggasztó. Néztétek már, hogy titeket érint ez a probléma?