Soporte técnico
Documentación
Inicio de sesión
Póngase en contacto con nosotros
Vulnerabilidades de alta gravedad resueltas en Ubuntu 18.04
Rohan Timalsina
3 de noviembre de 2023 - Equipo de expertos TuxCare
El equipo de seguridad de Ubuntu ha publicado nuevas actualizaciones para Ubuntu 16.04 y Ubuntu 18.04, parcheando varias vulnerabilidades de alta gravedad descubiertas en el kernel de Linux. Dado que ambos sistemas operativos han llegado al final de su vida útil, los parches solo están disponibles para los usuarios suscritos a Ubuntu Pro.
Aunque el precio de Ubuntu Pro es relativamente caro, puedes optar por una opción asequible, el Soporte de Ciclo de Vida Extendido de TuxCare, que ofrece parches de seguridad de calidad de proveedor hasta cinco años después del periodo EOL.
Hablaremos de ello más adelante, pero antes, repasemos algunos de los fallos de seguridad críticos que se han solucionado en Ubuntu 16.04 y Ubuntu 18.04. También aprenderemos los riesgos potenciales de estos problemas y por qué es esencial parchearlos para mantener la seguridad y la estabilidad del sistema.
Vulnerabilidades de alta gravedad corregidas
CVE-2023-42753 (puntuación de gravedad de Cvss 3: 7,8)
Se ha descubierto una vulnerabilidad de escritura fuera de los límites en el subsistema netfilter dentro del kernel de Linux debido a un cálculo erróneo de la directiva h->nets array offset. Un usuario local puede utilizar este fallo para bloquear el sistema o incluso ejecutar código arbitrario.
CVE-2023-4921 (puntuación de gravedad Cvss 3: 7,8)
Se ha identificado una vulnerabilidad de uso después de libre en la implementación del programador de colas Quick Fair en el kernel de Linux debido a su incorrecta gestión de los paquetes de red en determinadas condiciones. Un usuario local puede utilizar este fallo para bloquear el sistema o incluso ejecutar código arbitrario.
CVE-2023-4881 (puntuación de gravedad Cvss 3: 7,1)
Se ha identificado una vulnerabilidad de escritura fuera de los límites en el subsistema netfilter del kernel de Linux debido a su incorrecta validación de la longitud de registro. Un atacante local puede aprovechar este fallo para bloquear el sistema.
Nota: Se asignó erróneamente a un error que el equipo de seguridad del kernel de Linux consideró que no era un problema de seguridad.
CVE-2023-4622 (puntuación de gravedad Cvss 3: 7,0)
Se encontró una condición de carrera en la implementación del socket de dominio Unix del kernel de Linux, lo que resulta en una vulnerabilidad de uso después de libre. Un usuario local puede utilizar este fallo para bloquear el sistema o incluso ejecutar código arbitrario.
CVE-2023-34319 (puntuación de gravedad de Cvss 3: 7,8)
Se encontró una vulnerabilidad de desbordamiento de búfer en el controlador de backend de Xen netback dentro del kernel de Linux debido al manejo inadecuado de paquetes inusuales específicos de un frontend de red paravirtualizado. Un atacante en una máquina virtual huésped puede utilizar este fallo para bloquear el sistema o incluso ejecutar código arbitrario.
CVE-2023-4623 (puntuación de gravedad de Cvss 3: 7,8)
Se identificó una vulnerabilidad de uso después de libre en la implementación de qdisc dentro del kernel de Linux, donde falló al validar clases internas apropiadamente. Un usuario local puede utilizar este fallo para bloquear el sistema o incluso ejecutar código arbitrario.
Vulnerabilidades de gravedad media con prioridad alta
CVE-2023-42752 (puntuación de gravedad de Cvss 3: 5,5)
Se encontró una vulnerabilidad de desbordamiento de enteros en la implementación de la pila de red del kernel de Linux, donde la validación del tamaño del objeto skb (búfer de socket) era incorrecta bajo ciertas condiciones. Un atacante puede utilizar este fallo para bloquear el sistema o incluso ejecutar código arbitrario.
CVE-2023-42755 (puntuación de gravedad de Cvss 3: 5,5)
Se ha encontrado una vulnerabilidad de escritura fuera de los límites en la implementación del clasificador del Protocolo de Reserva de Recursos (RSVP) IPv4 dentro del kernel de Linux. Un atacante local puede utilizar este fallo para provocar una denegación de servicio (caída del sistema). El soporte del clasificador de paquetes del kernel para RSVP se ha eliminado para solucionar esta vulnerabilidad.
Ciclo de vida ampliado para Ubuntu
El soporte oficial para Ubuntu 16.04 terminó hace dos años, en abril de 2021. Y Ubuntu 18.04 obtuvo recientemente su estado de fin de vida en junio de 2023. Sin actualizaciones de seguridad, los sistemas EOL corren un alto riesgo debido a posibles vulnerabilidades. Por lo tanto, es esencial actualizar a la versión soportada a largo plazo u optar por el soporte de ciclo de vida extendido.
El soporte extendido del ciclo de vida de TuxCare proporciona las últimas actualizaciones de seguridad para el kernel de Linux, las bibliotecas comunes compartidas como glibc, openssh y openssl, y los paquetes del espacio de usuario. TuxCare supervisa continuamente las vulnerabilidades críticas del k ernel y otros problemas de seguridad relacionados con el sistema operativo al final de su vida útil. Los parches para vulnerabilidades de alta gravedad se publican tan pronto como se completan y prueban.
Las fuentes de este artículo se encuentran en USN-6440-1.
