今回のアップデートは、何と！キーボード・ドライバ（atkbd）でした。こんな枯れたドライバにどんな脆弱性が残っているのか？と疑問に思ってしまいました。下記のセキュリティ情報によると、ioctl の部分に問題箇所（バッファ・オーバーフロー）が存在しており、この問題箇所を悪意のある一般ユーザーが攻撃することでカーネルメモリを破壊して、一般ユーザによる「特権昇格」を行うことができるそうです。複数のユーザで一つのマシンを共有することがなければ、それほど意識する問題ではないのかもしれません。しかし脆弱性問題は、できるだけ早く対策しておくことに変わりはありません。
FreeBSD-SA-16:18.atkbd
- Buffer overflow in keyboard driver -
https://www.freebsd.org/security/advisories/FreeBSD-SA-16:18.atkbd.asc
FreeBSD-SA-16:19.sendmsg (FreeBSD 10 only)
- Incorrect argument handling in sendmsg(2) -
https://www.freebsd.org/security/advisories/FreeBSD-SA-16:19.sendmsg.asc
/usr/src/UPDATING の内容
20160517 p42 FreeBSD-SA-16:18.atkbdFix buffer overflow in keyboard driver. [SA-16:18]
ソースツリーの更新
subversion でソースツリーを更新しました。# svn update /usr/srcUpdating '/usr/src':
G /usr/src/UPDATING
U /usr/src/sys/conf/newvers.sh
U /usr/src/sys/dev/kbd/kbd.c
Updated to revision 300113.
カーネルの再ビルド
今回のアップデートでは、カーネルの再ビルドが必要です。# cd /usr/src
# make buildkernel KERNCONF=MYKERNEL
カーネルとユーザランドのインストール
# make installkernel
マシンの再起動
# reboot
0 件のコメント:
コメントを投稿
注: コメントを投稿できるのは、このブログのメンバーだけです。