CVE-2016-4998
WysokieStreszczenie
Implementacja setsockopt IPT_SO_SET_REPLACE w subsystemie netfilter w jądrze Linux przed wersją 4.6 pozwala lokalnym użytkownikom na wywołanie odmowy usługi (odczyt poza zakresem) lub potencjalne uzyskanie wrażliwych informacji z pamięci jądra, wykorzystując dostęp root w kontenerze do dostarczenia spreparowanej wartości offsetu.
Ocena ryzyka
Organizacje mogą być narażone na odmowę usługi oraz wyciek wrażliwych danych, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację jądra Linux do wersji 4.6 lub nowszej, aby zlikwidować tę podatność.
Inne podatności w Linux kernel netfilter subsystem
Zobacz wszystkie- CVE-2016-4997Wysokie
Podatność w implementacji setsockopt w subsystemie netfilter jądra Linux przed wersją 4.6.3 umożliwia lokalnym użytkownikom uzyskanie uprawnień lub spowodowanie odmowy usługi poprzez wykorzystanie dostępu root w kontenerze do dostarczenia spreparowanej wartości offsetu, co prowadzi do niezamierzonego dekrementu.
- CVE-2016-3134Wysokie
Podsystem netfilter w jądrze Linux do wersji 4.5.2 nie weryfikuje niektórych pól offsetowych, co pozwala lokalnym użytkownikom na uzyskanie uprawnień lub spowodowanie odmowy usługi (uszkodzenie pamięci na stercie) za pomocą wywołania setsockopt IPT_SO_SET_REPLACE.
Oryginalny opis (angielski, źródło NVD)
The IPT_SO_SET_REPLACE setsockopt implementation in the netfilter subsystem in the Linux kernel before 4.6 allows local users to cause a denial of service (out-of-bounds read) or possibly obtain sensitive information from kernel heap memory by leveraging in-container root access to provide a crafted offset value that leads to crossing a ruleset blob boundary.