基于LINUX系统的漏洞会导致崩溃、代码执行

来自Canonical的开发者们在本周推出了几个针对基于Linux操作系统的Ubuntu的补丁。其中一个补丁可以解决使攻击者可以造成拒绝服务或是使用TCP方式执行任意代码的漏洞。克里斯为该公司的软件和电子工程师,他发现了该漏洞为存在于Ubuntu系统解决系统服务的跨界写入漏洞。该服务为一个网络名称解决管理者并且可以帮助向本地应用程序提供网络名解决方案。克里斯在本周初警告到该漏洞可以影响到任意地运行在未修复版本的系统中的Linux分配。如果一位攻击者使用一个恶意的DNS服务器,他们就能够通过一个特别伪造的TCP方式来对该漏洞进行漏洞利用。克里斯讲道,特定的方式可以被用来欺骗服务进行收集小的缓冲区,一些个在末尾以外写入任意数据。他相信该漏洞在223系统版本中出现,并且影响到所有的后续版本,包括今年三月份发布的233版本。

Canonical将该漏洞标注为高危级别,并且警告到该问题将会影响到Ubuntu17.04和16.10版本。该公司为每一个版本都推出了系统修复补丁程序,用户可以更新其系统。像其他的基于Linux的系统Debian Linux、红帽Fedora和openSUSE,用户们想要独立地验证是否受到该漏洞的影响。根据Debian漏洞追踪者对该问题的研究,仅仅有Debian的Stretch、Buster和Sid版本受到该漏洞的影响。Debian强调克里斯所发现的漏洞仅仅是Debian中Stretch用户中的一个小问题,因为系统默认将其设置为关闭状态。该漏洞代码没有存在于Debian中Jessie和Wheezy版本中。在本周三,Fedora 25接收到了一个更新,该更新针对该问题所出现。克里斯所发现的跨界写入问题是本周多个已修复Ubuntu版本中的一个。在周一多个Apache中HTTP服务器漏洞在Ubuntu 17.04、16.10和16.04LTS和14.04LTS版本中得到修复。该漏洞可以导致验证需求绕过或拒绝服务情况的出现。一组Linux内核漏洞,其中包含在 17.04, 12.04 LTS, 16.10版本中的可以导致任意代码执行和服务拒绝的漏洞,已在周四得到修复。