Pembaruan keamanan kernel Linux baru datang sekitar dua minggu setelah pembaruan sebelumnya, yang merupakan pembaruan kecil yang hanya menambal tiga kelemahan keamanan, dan tersedia untuk semua rilis Ubuntu yang didukung, termasuk Ubuntu 22.04 LTS (Jammy Jellyfish), Ubuntu 21.10 (Impish Indri), Ubuntu 20.04 LTS (Focal Fossa), Ubuntu 18.04 LTS (Bionic Beaver), serta rilis Ubuntu 16.04 dan 14.04 ESM.
Ada lebih dari 30 kerentanan keamanan yang ditambal dalam pembaruan kernel Ubuntu besar-besaran ini. Salah satunya adalah CVE-2022-1966, kerentanan penggunaan setelah bebas yang ditemukan oleh Aaron Adams di subsistem netfilter yang dapat memungkinkan penyerang lokal menyebabkan penolakan layanan (kerusakan sistem) atau mengeksekusi kode arbitrer, serta seperti CVE-2022-21499, kelemahan kernel yang memungkinkan penyerang dengan hak istimewa untuk melewati batasan UEFI Secure Boot, dan CVE-2022-28390, kerentanan bebas ganda yang ditemukan dalam implementasi antarmuka EMS CAN/USB, yang memungkinkan penyerang lokal menyebabkan penolakan layanan (kelelahan memori).
Kerentanan tersebut mempengaruhi kernel sistem Ubuntu 22.04 LTS, Ubuntu 21.10, Ubuntu 20.04 LTS, dan Ubuntu 18.04 LTS, patch keamanan kernel Linux yang baru juga membahas CVE-2022-1158, sebuah kelemahan yang ditemukan oleh Qiuhao Li, Gaoning Pan, dan Yongkang Jia di Implementasi KVM, yang memungkinkan penyerang di VM tamu membuat crash OS host.
Kerentanan keamanan umum lainnya yang ditambal dalam pembaruan besar-besaran ini adalah CVE-2022-1972, masalah keamanan yang memengaruhi sistem Ubuntu 22.04 LTS yang menjalankan kernel Linux 5.15 LTS, serta sistem Ubuntu 21.10 dan Ubuntu 20.04 LTS yang menjalankan kernel Linux 5.13, ditemukan oleh Ziming Zhang di subsistem netfilter, dan CVE-2022-24958, kerentanan penggunaan setelah bebas yang ditemukan di antarmuka sistem file Gadget USB dan memengaruhi kernel Linux 5.13 dari sistem Ubuntu 21.10 dan 20.04 LTS, serta kernel Linux 5.4 LTS dari Ubuntu 20,04 LTS dan 18,04 LTS sistem. Kedua kelemahan ini dapat memungkinkan penyerang lokal menyebabkan penolakan layanan (kerusakan sistem) atau mengeksekusi kode arbitrer.
Hal yang sama berlaku untuk CVE-2022-28356, kerentanan keamanan yang ditemukan oleh di driver 802.2 LLC tipe 2 kernel Linux, CVE-2022-28389, kerentanan bebas ganda yang ditemukan dalam implementasi antarmuka Microchip CAN BUS Analyzer, CVE-2022- 1198, kerentanan penggunaan setelah bebas yang ditemukan oleh Duoming Zhou dalam implementasi protokol 6pack, CVE-2022-1516, kelemahan yang ditemukan dalam implementasi protokol jaringan X.25, dan CVE-2022-1353, masalah keamanan yang ditemukan di implementasi PF_KEYv2. Masalah ini memengaruhi kernel sistem Ubuntu 22.04 LTS, Ubuntu 20.04 LTS, dan Ubuntu 18.04 LTS dan dapat memungkinkan penyerang lokal menyebabkan penolakan layanan (kerusakan sistem) atau mengekspos informasi sensitif (memori kernel).
Kerentanan keamanan umum lainnya yang ditambal dalam pembaruan kernel Ubuntu baru ini, kali ini memengaruhi kernel sistem Ubuntu 20.04 LTS dan Ubuntu 18.04 LTS, adalah CVE-2021-3772, sebuah kelemahan yang ditemukan dalam implementasi protokol SCTP kernel Linux yang memungkinkan penyerang jarak jauh untuk menyebabkan penolakan layanan (disassociation koneksi).
Hanya untuk sistem Ubuntu 22.04 LTS yang menjalankan kernel Linux 5.15 LTS, pembaruan keamanan baru mengatasi 10 kerentanan lainnya, termasuk CVE-2022-1671, cacat yang ditemukan dalam implementasi soket sesi RxRPC yang memungkinkan penyerang lokal menyebabkan penolakan layanan (kerusakan sistem ) atau mungkin mengekspos informasi sensitif (memori kernel), CVE-2022-1204, CVE-2022-1205, dan CVE-2022-1199, tiga kelemahan yang ditemukan oleh Duoming Zhou dalam implementasi protokol radio amatir AX.25 yang memungkinkan lokal penyerang menyebabkan penolakan layanan (kerusakan sistem), serta CVE-2022-1263, masalah keamanan KVM yang ditemukan oleh Qiuhao Li, Gaoning Pan, dan Yongkang Jia yang dapat memungkinkan penyerang lokal di VM tamu merusak host sistem.
Juga ditambal di kernel Linux 5.15 LTS dari sistem Ubuntu 22.04 LTS adalah CVE-2022-28388, kerentanan bebas ganda yang ditemukan dalam implementasi antarmuka 8 Perangkat USB2CAN, CVE-2022-1651, cacat yang ditemukan dalam implementasi ACRN Hypervisor Service Module , CVE-2022-1048, beberapa kondisi balapan yang ditemukan oleh Hu Jiahui dalam kerangka kerja ALSA, CVE-2022-0168, sebuah cacat yang ditemukan oleh Billy Jheng Bing dalam implementasi sistem file jaringan CIFS, dan CVE-2022-1195, penggunaan- kerentanan after-free ditemukan dalam implementasi protokol 6pack dan mkiss. Masalah keamanan ini dapat memungkinkan penyerang lokal menyebabkan penolakan layanan (sistem crash atau kehabisan memori) atau mungkin mengeksekusi kode arbitrer.
Hanya untuk sistem Ubuntu 20.04 LTS dan Ubuntu 18.04 LTS yang menjalankan kernel Linux 5.4 LTS, pembaruan keamanan baru membahas 10 kerentanan lainnya, termasuk CVE-2022-23036, CVE-2022-23037, CVE-2022-23038,
CVE-2022-23039, CVE-2022-23040, CVE-2022-23041, dan CVE-2022-23042, serangkaian kelemahan yang ditemukan di beberapa frontend perangkat para-virtualisasi Xen oleh Demi Marie Obenour dan Simon Gaiser, yang dapat memungkinkan penyerang untuk mendapatkan akses ke halaman memori VM tamu atau menyebabkan penolakan layanan pada tamu dengan menggunakan backend Xen yang berbahaya.
Juga ditambal di kernel Linux 5.4 LTS dari sistem Ubuntu 20.04 LTS dan Ubuntu 18.04 LTS adalah CVE-2022-1011, kerentanan penggunaan-setelah-bebas yang ditemukan oleh Jann Horn Google Project Zero dalam implementasi sistem file FUSE, yang dapat memungkinkan lokal penyerang menyebabkan penolakan layanan (kerusakan sistem) atau mungkin mengeksekusi kode arbitrer, CVE-2021-4197, masalah keamanan yang ditemukan oleh Eric Biederman dalam implementasi migrasi proses cgroup, yang memungkinkan penyerang lokal mendapatkan hak administratif, dan CVE -2022-26966, sebuah cacat ditemukan pada driver perangkat ethernet USB SR9700 yang dapat memungkinkan penyerang terdekat secara fisik untuk mengekspos informasi sensitif (memori kernel).
Last but not least, pembaruan kernel Ubuntu besar-besaran baru ini memperbaiki tiga kerentanan keamanan lain yang mempengaruhi kernel Linux 4.15 dari sistem Ubuntu 18.04 LTS. Ini adalah CVE-2022-1016, masalah keamanan yang ditemukan oleh David Bouman di subsistem netfilter yang memungkinkan penyerang lokal untuk mengekspos informasi sensitif (memori kernel), CVE-2021-4149, masalah keamanan yang ditemukan dalam implementasi sistem file Btrfs memungkinkan lokal
penyerang menyebabkan penolakan layanan (kernel deadlock), serta CVE-2022-1419, kondisi balapan yang ditemukan dalam implementasi manajer memori grafis virtual yang berpotensi menyebabkan kebocoran informasi.
Canonical mendesak semua pengguna Ubuntu untuk memperbarui instalasi mereka ke versi kernel baru (linux-image 5.15.0.37.39 untuk Ubuntu 22.04 LTS, linux-image 5.13.0.48.56 untuk Ubuntu 21.10 dan 20.04.4 LTS, linux-image 5.4. 0.117.120 untuk Ubuntu 20.04 LTS, linux-image 5.4.0-117.132~18.04.1 untuk Ubuntu 18.04.6 LTS, serta linux-image 4.15.0.184.172 untuk Ubuntu 18.04 LTS), sesegera mungkin dengan menggunakan utilitas Pembaruan Perangkat Lunak atau dengan menjalankan perintah sudo apt update && sudo apt full-upgrade di aplikasi Terminal. Reboot sistem diperlukan setelah menginstal versi kernel baru!
Sumber: 9to5linuX
