Ubuntu corrige de multiples vulnérabilités de BusyBox
BusyBox, souvent appelé le "couteau suisse de Linux embarqué", est une suite compacte d'utilitaires Unix combinés en un seul exécutable. Il est largement utilisé dans les petits systèmes et les systèmes embarqués en raison de sa légèreté. Cependant, comme tout logiciel, il n'est pas à l'abri des vulnérabilités. Récemment, Canonical a publié des mises à jour de sécurité pour résoudre plusieurs problèmes de sécurité dans BusyBox. Ces vulnérabilités, si elles sont exploitées, peuvent permettre à un attaquant de provoquer un déni de service ou même une exécution de code arbitraire. Cet article explore les détails des vulnérabilités de BusyBox corrigées dans Ubuntu et offre des conseils sur la façon de protéger vos systèmes.
Détails des vulnérabilités de BusyBox
CVE-2022-48174 (Score de gravité CVSS v3 : 9.8 Critique)
Cette vulnérabilité provient d'une mauvaise validation des entrées de l'utilisateur lors de l'exécution de certaines opérations arithmétiques dans BusyBox. Un attaquant peut exploiter cette faille en trompant un utilisateur ou un système automatisé pour qu'il traite un fichier spécialement conçu. Un attaquant pourrait utiliser cette faille pour provoquer un déni de service ou exécuter un code arbitraire sur le système affecté.
CVE-2023-42363, CVE-2023-42364, CVE-2023-42365 (Score de gravité CVSS v3 : 5.5 Moyen)
Trois vulnérabilités de type "use-after-free" ont été identifiées dans la manière dont BusyBox gère la mémoire lors de l'évaluation de certaines expressions awk. Cela pourrait également permettre à un attaquant de provoquer un déni de service ou d'exécuter du code arbitraire. Cependant, ces problèmes n'affectent que Ubuntu 24.04 LTS.
Rester en sécurité
Pour protéger vos systèmes de ces vulnérabilités, il est crucial de mettre à jour BusyBox avec la dernière version corrigée. Canonical a publié des mises à jour pour Ubuntu 24.04 LTS, Ubuntu 22.04 LTS et Ubuntu 20.04 LTS afin de résoudre ces problèmes.
Les utilisateurs d'Ubuntu 16.04 et 18.04 doivent savoir que CVE-2022-48174 affecte également ces anciennes versions. Cependant, comme ces versions ont atteint leur fin de vie, elles ne reçoivent plus de mises à jour de sécurité gratuites de la part de Canonical.
Pour les organisations qui utilisent encore des versions obsolètes d'Ubuntu, l 'Extended Lifecycle Support (ELS) de TuxCare offre une solution rentable pour maintenir la sécurité et la stabilité. L'ELS de TuxCare fournit jusqu'à cinq années supplémentaires de correctifs de sécurité pour Ubuntu 16.04 et Ubuntu 18.04 au-delà de la date officielle de fin de vie. Ce service couvre plus de 140 paquets, y compris le noyau Linux, BusyBox, Python, OpenSSL, glibc et OpenJDK.
L'équipe ELS a déjà publié des correctifs pour CVE-2022-48174 sur plusieurs distributions Linux, notamment CentOS 6, CloudLinux 6, Ubuntu 16.04, Ubuntu 18.04 et Oracle Linux 6. Pour rester informé de toutes les vulnérabilités et de l'état d'avancement des correctifs, vous pouvez consulter le CVE tracker.
Réflexions finales
En appliquant rapidement les derniers correctifs de Canonical ou en utilisant les services de support étendus, vous pouvez protéger vos systèmes Ubuntu contre les exploits potentiels et garantir leur fiabilité.
Ne laissez pas une version obsolète d'Ubuntu compromettre votre sécurité. Restez protégé avec l'ELS de TuxCare et bénéficiez de correctifs de sécurité de qualité à un prix abordable.
Source : USN-6961-1