bulletin de vulnérabilité CVE-2010-0727

Noyau Linux : déni de service via GFS

Synthèse de la vulnérabilité

Un attaquant local peut verrouiller un fichier sur un système GFS, afin de stopper le noyau.

Gravité : 1/4. Date création : 12/03/2010.

Description de la vulnérabilité

Le noyau Linux supporte le système de fichiers GFS (Global File System). Un fichier peut être verrouillé selon deux modes :  - advisory locking : le processus gère les accès concurrents, avant chaque read()/write()  - mandatory locking : le système gère les accès concurrents, en vérifiant le bit Sgid sans le bit GroupExecute durant chaque read()/write() Un attaquant local peut verrouiller un fichier GFS avec un "advisory locking", puis changer le mode du fichier pour simuler un "mandatory locking". Lorsque le fichier est fermé, le noyau ne gère pas ce cas particulier, et appelle la macro BUG(). Un attaquant local peut donc verrouiller un fichier sur un système GFS, afin de stopper le noyau.

Bulletin Vigil@nce complet

Accès au bulletin Vigil@nce complet

Caractéristiques

Titre : Noyau Linux : déni de service via GFS. Mots clés : BUG File GFS Global GroupExecute Linux Noyau Sgid System déni service. Références : 570863, BID-39101, CVE-2010-0727, DSA 2053-1, MDVSA-2010:066, MDVSA-2010:067, RHSA-2010:0178-02, RHSA-2010:0291-04, RHSA-2010:0330-01, RHSA-2010:0331-01, RHSA-2010:0380-01, RHSA-2010:0521-01, VIGILANCE-VUL-9513.

Sources d'information

Publications et annonces Exemple de source : Bug 570863 : CVE-2010-0727 bug in GFS/GFS2 locking code leads to dos

Solutions pour cette vulnérabilité

Patch correctif ou contre-mesure

Service de veille sur les vulnérabilités informatiques

Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information.
La base de vulnérabilités Vigil@nce contient plusieurs milliers de failles.
Ce bulletin a été rédigé par l'équipe Vigil@nce, qui surveille les vulnérabilités informatiques de systèmes et d'applications.
Service de veille sur les vulnérabilités informatiques