Root-Kernel-Lücke bedroht viele Linux-Distributionen | heise online

[Mutti]

Hallo,

habe das auf Heise Online gelesen.

Root-Kernel-Lücke bedroht viele Linux-Distributionen

Sicherheitsforscher demonstrieren erfolgreiche Attacken auf Debian, Fedora und Ubuntu. Im Anschluss hatten sie Root-Rechte. Patches schaffen Abhilfe.

www.heise.de

Sicherheitshalber mal die Frage, ob das ausreicht?

# apt update && apt dist-upgrade -yq && apt-get autoremove -y

OS ist -
Ubuntu 20.04.2 LTS (GNU/Linux 5.4.0-77-generic x86_64)

Danke voraus.

 

[Demmerle IT]

Hallo,

ja, das reicht.

Kuckst du hier:

CVE-2021-33909 | Ubuntu

Ubuntu is an open source software operating system that runs from the desktop, to the cloud, to all your internet connected things.

ubuntu.com

und hier

CVE-2021-33910 | Ubuntu

Ubuntu is an open source software operating system that runs from the desktop, to the cloud, to all your internet connected things.

ubuntu.com

Grüße
Jonathan

 

[Mutti]

Vielen Dank.

 

[marce]

da fehlt noch ein "reboot" - nur den neuen Kernel installieren reicht nicht, er sollte auch laufen...

(und für das vermutlich auch gleich mitkommende systemd-Update gilt das gleiche....)

 

[danton]

Grundsätzlich gilt: Setzt die betroffene Distribution die anfällige Software ein und auch in einer anfälligen Version. Falls ja, prüfen, ob die Distribution schon aktualisierte Pakete anbietet (Security-Seiten der Distribution prüfen, Changelog des Paket, usw.) und wenn ja, updaten. Danach prüfen, welche laufenden Prozesse neu gestartet werden müssen bzw. bei Kernel-Updates das System neu starten. Für Debian und Ubuntu gibt es das Programm needrestart, welches z.B. automatisch eine Liste erzeugt und ggfl. auch anbietet, die entsprechenden Dienste neu zu starten (auf Kernel-Updates wird nur hingewiesen, der Neustart muss manuell erfolgen). Grundsätzlich empfiehlt es sich immer, neue Versionen recht zeitnah zu installieren, denn nicht jeder sicherheitsrelevante Fix ist auch als solcher gekennzeichnet.
In einigen Fällen reicht es aber nicht aus, nur das Update zu installieren, sondern es muss die Konfiguration angepasst werden oder man muss die Folgen eines solchen Fehlers noch korrigieren. Mir fällt da der Bug in openssl ein, den Debian vor einigen Jahren bei einem Backport eines Fixes eingebaut hat. Dort mussten z.B. noch alle SSL-Schlüssel und Zertifikaten nach Einspielen des Bugs erneuert werden, weil durch den Bug nur relativ unsichere Schlüssel erzeugt worden waren.
Im Falle der zwei oben genannten Lücken in dem Heise-Artikel (Kernel und Systemd) reichen Update und Neustart aus.