Исходное сообщение
"Опасная уязвимость в реализациях LZO/LZ4, затрагивающая ядро..." Отправлено opennews, 27-Июн-14 10:30
В различных реализациях алгоритмов распаковки LZO и LZ4 выявлена (http://blog.securitymouse.com/2014/06/raising-lazarus-20-yea...) опасная уязвимость (CVE-2014-4607), которая присутствует уже около 20 лет и может привести к повреждению областей памяти при распаковке специально оформленных сжатых данных. Проблема вызвана целочисленным переполнением, проявляющимся при обработке больших непрерывных блоков нулевых байтов (более 16Мб). В настоящее время обозначена (http://www.openwall.com/lists/oss-security/2014/06/26/20) возможность применения уязвимости для совершения DoS-атак, но не исключено, что вызываемое уязвимостью повреждение памяти может быть использовано для организации выполнения кода злоумышленника. При использовании в моногопоточных программах уязвимость может привести к повреждению структур, влияющих на процесс выполнения, что может быть использовано для получения контроля за выполнением нитей или процессов из другого контекста. Проблему усугубляет то, что, в силу специфики использования LZO/LZ4, уязвимость во многих случаях может быть эксплуатирована удалённо. Кроме того, быстрые и эффективные алгоритмы LZO/LZ4  очень широко используются в программном обеспечении: от ядра Linux, Juniper Junos, MPlayer2, Libav, FFmpeg и OpenVPN до различных встраиваемых платформ и устройств, в том числе автомобильных систем и даже  масохода Curiosity. Поддержка сжатия с использованием LZO применяется во многих файловых системах, включая btrfs, squashfs, jffs2 и ubifs. LZ4 применяется в файловой системе ZFS. Уязвимоcти подвержены все версии пакета lzo1, а также все версии liblzo2 за исключением платформ, на которых при сборе используются макросы LZO_UNALIGNED_OK_8 и LZO_UNALIGNED_OK_4. Проявление уязвимости протестировано на архитектурах x86_64, i386 и ARM. Проблема уже исправлена в выпусках (https://www.kernel.org/) ядра Linux 3.15.2, 3.14.9, 3.4.95 и 3.10.45. В дистрибутивах обновления пока на стадии подготовки. Оценить появление обновлений можно на следующих страницах: Debian (https://www.debian.org/security/), Ubuntu (http://www.ubuntu.com/usn/), CentOS (http://lists.centos.org/pipermail/centos-announce/2014-June/), RHEL (https://access.redhat.com/site/security/updates/active/), Fedora (https://admin.fedoraproject.org/updates/F20), openSUSE (http://lists.opensuse.org/opensuse-security-announce/), SLES (https://www.suse.com/support/update/),  Slackware (http://www.slackware.com/security/list.php?l=slackware-secur...), Gentoo (http://www.gentoo.org/security/en/index.xml), OpenBSD (http://www.openbsd.org/security.html), NetBSD (http://www.netbsd.org/support/security/), FreeBSD (http://www.freebsd.org/security/advisories.html). URL: http://blog.securitymouse.com/2014/06/raising-lazarus-20-yea... Новость: http://www.opennet.ru/opennews/art.shtml?num=40093