Support technique
Documentation
Connexion
Nous contacter
Mise à jour mensuelle de TuxCare - octobre 2021
Le 2 novembre 2021 - L'équipe de relations publiques de TuxCare
Bienvenue dans le prochain épisode de notre tour d'horizon mensuel des actualités, qui vous est présenté par TuxCare. Nous avons développé des solutions de correctifs en temps réel qui minimisent la charge de travail de la maintenance et les perturbations tout en maximisant la sécurité et le temps de fonctionnement de vos systèmes.
Dans ce dernier aperçu mensuel, nous commencerons comme d'habitude par un tour d'horizon des derniers CVEs patchés par l'équipe TuxCare. Nous vous présenterons également les dernières astuces et conseils précieux, ainsi que des vidéos passionnantes créées par l'équipe TuxCare.
Sommaire :
1. CVEs divulguées en octobre
2. Podcasts vidéo sur la sécurité d'Enterprise Linux
3. Les dernières nouvelles sur la fin de vie de CentOS 8
4. Blog TuxCare : Choix de l'éditeur
CVEs divulgués en octobre
Le mois d'octobre a vu la divulgation d'une série de vulnérabilités qui affectent les piles HWE (Hardware Enablement Stacks) d'Ubuntu 20.04 et Amazon Web Services (AWS).
Le premier, désigné CVE-2020-3702affecte le pilote Wi-Fi Atheros Ath9k dans le noyau. Une condition de course potentielle entre des threads concurrents pourrait provoquer un comportement inattendu et exploitable par un attaquant. Touchant principalement les adaptateurs sans fil basés sur Snapdragon, la vulnérabilité pourrait permettre une attaque système utilisant la connexion sans fil comme vecteur d'entrée.
Le suivant, désigné CVE-2021-3732affecte les contrôles d'accès aux fichiers permettant un accès non privilégié aux données protégées.
Le suivant, désigné CVE-2021-3739affecte le code BTRFS dans le noyau, où un processus détourné s'exécutant avec les privilèges CAP_SYS_ADMIN peut être utilisé pour lancer un déni de service.
Le suivant, désigné CVE-2021-3743a été découvert dans l'implémentation du protocole Qualcomm IPC Router. Les métadonnées non validées peuvent être exploitées pour accéder à des informations sensibles, perturber le traitement ou lancer un déni de service.
Le suivant, désigné CVE-2021-3753affecte le terminal virtuel (VT) utilisé pour l'accès local à un système via la console. Une condition de concurrence peut être exploitée pour provoquer une erreur de lecture hors limites qui peut être exploitée pour la divulgation d'informations non autorisées.
Le suivant, désigné CVE-2021-38166affecte le sous-système BPF du noyau. Un attaquant disposant des privilèges CAP_SYS_ADMIN peut provoquer un débordement d'entier pour produire une écriture hors limites dans le code HashTab. Cette vulnérabilité peut être exploitée pour lancer une exécution de code arbitraire, perturber le traitement ou lancer un déni de service. Ce code du noyau a fait l'objet d'autres vulnérabilités récentes qui ont été précédemment mentionnées de manière extensive.
Le suivant, désigné CVE-2021-40490affecte la base de code EXT4 et constitue une autre condition de course exploitable qui peut être utilisée pour lancer un déni de service. Il existe un chemin connu vers l'escalade des privilèges pour cette vulnérabilité dans ce code largement déployé, de sorte que son importance potentielle est considérée comme très élevée.
La dernière vulnérabilité, désignée CVE-2021-42008a été découverte dans la fonction "decode_data" du pilote réseau "hamradio". Un attaquant disposant des privilèges CAP_SYS_ADMIN peut l'utiliser pour provoquer une écriture hors limites. Cette vulnérabilité peut être exploitée à distance pour obtenir un accès root ou lancer un déni de service.
Podcasts vidéo sur la sécurité d'Enterprise Linux
Le podcast sur la sécurité d'Enterprise Linux de l'équipe TuxCare continue d'offrir des explications approfondies sur les derniers sujets d'actualité et les concepts fondamentaux. Co-animé par Jay LaCroix de Learn Linux TV et Joao Correia de TuxCare, les deux prochains épisodes sont maintenant disponibles.
Vous pouvez regarder le cinquième épisode qui traite de la façon dont les attaquants pensent et opèrent ici : Enterprise Linux Security Episode 05 - The "Attacker" Mindset - YouTube
Le sixième épisode, qui traite des images de déploiement, est également disponible ici : Enterprise Linux Security Episode 06 - Image Defaults - YouTube
Ces podcasts vidéo traitant des problèmes de sécurité de Linux sont essentiels pour toute personne impliquée dans la gestion des systèmes d'entreprise basés sur Linux.
Les dernières nouvelles sur la fin de vie de CentOS 8
En septembre, nous avons annoncé le lancement de notre Support de cycle de vie étendu pour CentOS 8suite à l'annonce soudaine de sa fin de vie. Il ne reste plus que soixante jours avant la fin de vie de CentOS 8, qui interviendra entre Noël et le Nouvel An, période pendant laquelle personne ne souhaite gérer une migration majeure du système d'exploitation. Si vous êtes encore indécis sur la façon de procéder à ce stade très avancé, regardez cette vidéo de Jay de LearnLinuxTV pour obtenir la liste complète des options. N'oubliez pas que notre forfait d'assistance inclut notre service de correctifs en direct pour les composants critiques du système et une assistance 24h/24 et 7j/7.
Blog TuxCare : Choix de l'éditeur
