更新后的 kernel 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kernel 程序包包含 Linux 内核，后者是任何 Linux 操作系统的核心。

* 发现 Linux 内核的 Intel AES-NI 指令 RFC4106 GCM 模式优化版本的解密功能在处理拆分数据包的方式中存在缓冲区溢出缺陷。远程攻击者可通过具有活动 AEC-GCM 模式 IPSec 安全关联的连接上的系统，利用此缺陷，从而造成崩溃或可能升级其在系统中的权限。（CVE-2015-3331，重要）

此更新还修复以下缺陷：

* 以前，内核审计子系统未正确跟踪文件路径名称，可能导致在 PATH 审计记录中存在空白名称或“(null)”路径名称。此更新可正确跟踪文件路径名称并在审计 PATH 记录中显示名称，从而修复缺陷。
(BZ#1197746)

* 由于字段类型的内部表示发生变更，由审计 API 设置为 -1 的 AUDIT_LOGINUID (4294967295) 被非对称地转换为值为 0 的 AUDIT_LOGINUID_SET 字段，较早版本的审计 API 将无法识别此值。为了修复此缺陷，内核会记录制定规则的方式，并报告原先给出表单中的规则。因此，较早版本的审计可如预期提供 AUDIT_LOGINUID 字段类型格式的报告，较新版本则可迁移至新的 AUDIT_LOGINUID_SET 字段类型。(BZ#1197748)

* GFS2 文件系统“Splice Read”操作（用于 sendfile() 函数）未在内存中正确分配所需的多区块保留结构。因此，当调用 GFS2 区块分配器分配数据块时，它会尝试取消引用结构，从而导致内核错误。通过此更新，“Splice read”操作可在调用块分配器前对内存中必要的保留结构进行正确分配，因此 sendfile() 可以为 GFS2 正确工作。(BZ#1201256)

* 将 Open vSwitch (OVS) 内部 vport 移至另一网络命名空间时将删除该命名空间，从而导致内核错误。
通过删除在网络命名空间删除时的 OVS 内部 vport，该缺陷已得到修复。(BZ#1202357)

* 以前，内核审计子系统未正确处理文件和目录移动，导致审计记录与审计文件监视不符。通过此修复可正确处理上述移动，从而使审计文件监视可以正常工作。(BZ#1202358)

* 由于使用回归，因此无法在线设置 crypto 适配器。已提供修补程序，用于修复设备注册流程以使其在注册流程完成前可以使用，因此修复了该缺陷。(BZ#1205300)

* 由于在熵相加过程中发生计算错误，/dev/random 文件中熵的数量可能被高估。已更改熵加法公式，因此修复了该缺陷。(BZ#1211288)

* 以前，ansi_cprng 与 drbg 实用工具未能遵守调用约定，在成功后返回了正值而非正确的零值。因此，Internet 协议安全 (IPsec) 在使用 ansi_cprng 或 drbg 时将意外终止。
通过此更新，ansi_cprng 和 drbg 已更改为在成功后返回零，且 IPsec 现在可正常工作。(BZ#1211487)

* 由于在 mlx4_en 驱动程序中重新使用 tx 描述符时未能清除时间戳标记，使得未针对其所发送数据请求硬件时间戳标记的程序也收到了时间戳，从而导致部分应用程序出现意外行为。通过此更新，在上述情况下重新使用 mlx4_en 驱动程序中的 tx 描述符时，将清除硬件时间戳标记，现在应用程序的行为正常。(BZ#1209240)

建议所有内核用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动系统才能使此更新生效。

检测

CentOS 7：kernel (CESA-2015:0987)

high Nessus 插件 ID 83417

未找到变更日志