Mise à jour mensuelle de TuxCare - août 2021

Chez TuxCare, nous sommes fiers d'être le fournisseur de confiance de services de maintenance pour l'industrie Enterprise Linux. Nos services améliorent la gestion de l'administration du système tout en maximisant le temps de fonctionnement du système et en minimisant les interruptions de service.

Dans ce dernier aperçu mensuel, vous trouverez un tour d'horizon des derniers CVEs patchés par l'équipe TuxCare. Vous trouverez également des détails sur les dernières mises à jour de notre gamme de services TuxCare, ainsi que de nombreux conseils utiles.

Sommaire :

1. CVEs divulgués en août
2. Podcasts vidéo sur la sécurité d'Enterprise Linux
3. Présentation de notre tableau de bord CVE
4. Support étendu du cycle de vie
5. Le blog de TuxCare : Choix de l'éditeur

CVEs divulgués en août

La première vulnérabilité a été découverte très près de chez nous lorsque notre propre Nikita Popov, l'un des membres de l'équipe d'experts de TuxCare, a identifié une faille inconnue auparavant dans le code glibc. Cette faille a été découverte lors de l'investigation d'une autre vulnérabilité signalée. Désigné CVE-2021-38604il a été constaté qu'une faille de segmentation pouvait être déclenchée dans un chemin de code spécifique au sein de la bibliothèque. La conséquence de cet événement était que l'application utilisant la bibliothèque glibc pouvait se planter, entraînant un déni de service. La bibliothèque glibc est un composant critique, qui fournit les principales primitives du système. Identifier et résoudre ce problème a été considéré comme une victoire importante pour l'équipe. Notre site Services de support à cycle de vie étendu ont produit et distribué des correctifs vivants pour ce CVE.

Deux autres vulnérabilités (CVE-2021-3711 et CVE-2021-3712) ont également été divulguées en août, toutes deux affectant OpenSSL. CVE-2021-3711 est une faille de haute gravité dans la fonction de décryptage SM2 qui pourrait corrompre la mémoire et permettre à un attaquant de provoquer un dépassement de tampon pour créer un scénario dans lequel il pourrait forcer une escalade de privilèges. CVE-2021-3712 est une faille de faible gravité qui pourrait également permettre à un attaquant de provoquer un dépassement de tampon. Notre site service de correctifs en direct KernelCare Enterprise a produit et distribué des correctifs vivants pour ces CVE dans les 24 heures.

Podcasts vidéo sur la sécurité d'Enterprise Linux

Le podcast Enterprise Linux Security de l'équipe de TuxCare est opérationnel et offre des explications approfondies sur les derniers sujets d'actualité et les concepts fondamentaux. Co-animé par Jay LaCroix de Learn Linux TV et Joao Correia de TuxCare, les deux premiers épisodes sont maintenant disponibles.

Vous pouvez regarder le premier épisode qui aborde le sujet critique des vulnérabilités et expositions communes ici : Sécurité d'Enterprise Linux - Episode 01 : Vulnérabilités et expositions communes (CVEs).

Le deuxième épisode, qui traite des vecteurs d'attaque courants, est également disponible ici : Sécurité d'Enterprise Linux - Episode 02 : Vecteurs d'attaque

Ces podcasts vidéo traitant des problèmes de sécurité de Linux sont essentiels pour toute personne impliquée dans la gestion des systèmes d'entreprise basés sur Linux.

Présentation de notre tableau de bord CVE

Vous demandez-vous parfois si un CVE particulier affecte vos systèmes et s'il a été corrigé ou non ? Nous recevons souvent des demandes de clients qui recherchent des informations ou s'informent de l'état d'un correctif particulier. Bien que nous envoyions des annonces pour les CVE qui affectent les systèmes que nous prenons en charge, vous seriez vite dépassé si nous envoyions également une notification pour la multitude qui ne vous affecte pas. Ainsi, pour améliorer la transparence et rendre les informations pertinentes plus faciles à trouver, nous avons créé un tableau de bord CVE. Celui-ci répertorie tous les CVE couverts par notre service de support étendu du cycle de vie et peut être filtré par système d'exploitation et autres critères. Cette fonctionnalité vous donne le contrôle et vous fournit toutes les informations dont vous avez besoin du bout des doigts. Voir notre blog pour plus de détails.

Support de cycle de vie étendu

Enfin, utilisez-vous des systèmes en fin de vie, ou êtes-vous un opérateur CentOS 8 qui est sur le point d'être confronté à ce problème ? Avez-vous déjà été tenté de recycler les mêmes vieux systèmes hérités comme solution simple et rapide pour maintenir un service ?

Si vous avez répondu par l'affirmative à l'une de ces questions, vous comprenez les difficultés liées à l'utilisation des systèmes existants. Les systèmes existants sont un casse-tête pour les administrateurs système du monde entier, qu'il s'agisse de risques de sécurité accrus ou d'obstacles à la réussite des audits de conformité. Cependant, lorsque la pression est forte, ils peuvent être la meilleure solution à court terme pour une entreprise. C'est là que le support de cycle de vie étendu de TuxCare peut venir à la rescousse. Il assure la sécurité et la conformité de l'héritage pendant des années, vous laissant le temps de rechercher, planifier et mettre en œuvre une solution de migration à long terme. Alors pourquoi ne pas jeter un coup d'œil à cette vidéo qui explique le fonctionnement de notre service.