每月TuxCare更新 - 十月2021

歡迎來到TuxCare為您帶來的下一期月度新聞綜述。我們開發了即時修補解決方案，可最大限度地減少維護工作量和中斷，同時最大限度地提高系統的安全性和正常運行時間。

在最新的月度概述中，我們將像往常一樣從TuxCare團隊修補的最新CVE的綜述開始。我們還將為您帶來最新的寶貴提示和建議，以及TuxCare團隊創建的一些令人興奮的視頻。

內容：

1 . 10 月披露的 CVE
2. 企業 Linux 安全視頻播客
3. 最新的 CentOS 8 生命週期結束新聞
4. TuxCare博客：編輯精選

10 月披露的 CVE

十月份披露了一系列影響Ubuntu 20.04硬體支援堆棧（HWE）和亞馬遜網路服務（AWS）的漏洞。

第一個被指定為 CVE-2020-3702，影響內核中的Atheros Ath9k Wi-Fi驅動程式。併發線程之間的潛在爭用條件可能會導致意外和攻擊者可利用的行為。該漏洞主要影響基於驍龍的無線適配器，可能允許使用無線連接作為入口媒介進行系統攻擊。

下一個指定為 CVE-2021-3732 影響檔訪問控制，允許對受保護的數據進行非特權訪問。

下一個被指定為 CVE-2021-3739，會影響內核中的 BTRFS 代碼，其中以CAP_SYS_ADMIN許可權運行的被劫持進程可用於啟動拒絕服務。

下一個被命名為 CVE-2021-3743，是在高通 IPC 路由器協議的實施中發現的。未經驗證的元數據可被利用來訪問敏感資訊、中斷處理或啟動拒絕服務。

下一個指定為 CVE-2021-3753，影響用於通過控制台本地訪問系統的虛擬終端 （VT） 設備。可利用爭用條件造成越界讀取錯誤，該錯誤可用於未經授權的信息洩露。

下一個指定為 CVE-2021-38166，影響內核的 BPF 子系統。具有CAP_SYS_ADMIN許可權的攻擊者可導致整數溢出，從而在HashTab代碼中生成越界寫入。可利用此漏洞啟動任意代碼執行、中斷處理或啟動拒絕服務。此內核代碼一直是之前廣泛提到的其他最近漏洞的主題。

下一個指定為 CVE-2021-40490，會影響 EXT4 代碼庫，並且是另一個可利用的爭用條件，可用於啟動拒絕服務。在此廣泛部署的代碼中，此漏洞存在一條已知的特權提升路徑，因此其潛在重要性被認為非常高。

最後一個漏洞，指定為 CVE-2021-42008，是在「hamradio」網路驅動程式的「decode_data」功能中發現的。具有CAP_SYS_ADMIN許可權的攻擊者可利用此問題造成越界寫入。可遠端利用此漏洞獲取根訪問許可權或啟動拒絕服務。

企業 Linux 安全視頻播客

TuxCare團隊的企業Linux安全播客繼續為最新的熱門話題和基本概念提供深入的主題解釋。由Learn Linux TV的Jay LaCroix和TuxCare自己的Joao Correia共同主持，接下來的兩集現在可以觀看。

您可以在此處觀看討論攻擊者如何思考和操作的第五集： Enterprise Linux Security 第 05 集 – “攻擊者”心態 – YouTube

此外，還有第六集討論部署映射： Enterprise Linux Security 第 06 集 – 映像預設值 – YouTube

這些討論Linux安全問題的視頻播客對於參與管理基於Linux的企業系統的任何人來說都是必不可少的觀看。

最新的 CentOS 8 生命週期結束新聞

9 月，我們宣佈推出對 CentOS 8 的擴展生命週期支援，因為 CentOS 8 突然宣佈其生命週期結束。現在距離CentOS 8的生命週期結束只有六十天，在耶誕節和新年之間的那段時間結束，沒有人願意管理主要的操作系統遷移。如果你還沒有決定如何在這麼晚的階段繼續， 看看Jay在LearnLinuxTV上的這個視頻，瞭解 完整的選項清單。不要忘記，我們的支援包包括關鍵系統元件的即時修補服務和 24/7 全天候 支援 。

TuxCare博客：編輯精選

• CVE 儀錶板更新和新功能
• 讓我們加密證書更改如何影響即時修補客戶