Oracle Linux 6 / 7:Unbreakable Enterprise 内核 (ELSA-2020-5801)

medium Nessus 插件 ID 139398

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

远程 Oracle Linux 6 / 7 主机上安装的程序包受到 ELSA-2020-5801 公告中提及的多个漏洞的影响。

- 在 Linux 内核 5.6.13 及之前的版本中,VFIO PCI 驱动程序错误地处理了对已禁用内存空间的访问尝试。(CVE-2020-12888)

- 在 5.3.11 及之前版本的 Linux 内核中,drivers/media/pci/cx23885/cx23888-ir.c 的 cx23888_ir_probe() 函数中存在内存泄漏,攻击者可利用此漏洞,通过触发 kfifo_alloc() 失败造成拒绝服务(内存消耗),即 CID-a7b2df76b42b。(CVE-2019-19054)

- 在低于 5.4.16 的 Linux 内核版本中,slip 和 slcan 线路规则中的 tty->disc_data 处理中存在争用条件,可导致释放后使用,亦即 CID-0ace17d56824。此问题会影响 drivers/net/slip/slip.c 和 drivers/net/can/slcan.c。(CVE-2020-14416)

请注意,Nessus 尚未测试此问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

更新受影响的程序包。

另见

https://linux.oracle.com/errata/ELSA-2020-5801.html

插件详情

严重性: Medium

ID: 139398

文件名: oraclelinux_ELSA-2020-5801.nasl

版本: 1.4

类型: local

代理: unix

发布时间: 2020/8/7

最近更新时间: 2022/5/12

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: Medium

基本分数: 4.7

时间分数: 3.5

矢量: CVSS2#AV:L/AC:M/Au:N/C:N/I:N/A:C

CVSS 分数来源: CVE-2020-14416

CVSS v3

风险因素: Medium

基本分数: 5.3

时间分数: 4.6

矢量: CVSS:3.0/AV:L/AC:H/PR:H/UI:N/S:C/C:N/I:N/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

CVSS 分数来源: CVE-2020-12888

漏洞信息

CPE: cpe:/o:oracle:linux:6, cpe:/o:oracle:linux:7, p-cpe:/a:oracle:linux:kernel-uek, p-cpe:/a:oracle:linux:kernel-uek-debug, p-cpe:/a:oracle:linux:kernel-uek-debug-devel, p-cpe:/a:oracle:linux:kernel-uek-devel, p-cpe:/a:oracle:linux:kernel-uek-doc, p-cpe:/a:oracle:linux:kernel-uek-firmware

必需的 KB 项: Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list, Host/local_checks_enabled

易利用性: No known exploits are available

补丁发布日期: 2020/8/6

漏洞发布日期: 2019/11/18

参考资料信息

CVE: CVE-2019-19054, CVE-2020-12888, CVE-2020-14416