☰

如何缓解 FreeBSD 11 上的多个漏洞：远程代码执行和本地权限提升？

tag-icon • tag-icon security freebsd kde vulnerability pkg
如何缓解 FreeBSD 11 上的多个漏洞：远程代码执行和本地权限提升？

通过使用 freeBSD 11 上的工具检查已安装软件包的状态pkg audit -F，我在已安装软件包（通过安装pkg）上发现了 4 个漏洞：samba、OpenEXR、kdelibs和ImageMagick。

我已经升级 ImageMagick到samba最新版本（+遵循缓解指南对于桑巴舞：添加nt pipe support = no到nsmb.conf）。

#pkg search samba
p5-Samba-LDAP-0.05_2           Manage a Samba PDC with an LDAP Backend
p5-Samba-SIDhelper-0.0.0_3     Create SIDs based on G/UIDs
samba-nsupdate-9.8.6_1         nsupdate utility with GSS-TSIG support
samba42-4.2.14_1               Free SMB/CIFS and AD/DC server and client for Unix
samba43-4.3.13_2               Free SMB/CIFS and AD/DC server and client for Unix
samba44-4.4.13                 Free SMB/CIFS and AD/DC server and client for Unix
samba45-4.5.8                  Free SMB/CIFS and AD/DC server and client for Unix
samba46-4.6.2                  Free SMB/CIFS and AD/DC server and client for Unix

OpenEXR和没有可用的升级kdelibs，已安装最新版本。

我在 FreeBSD 11 上使用 KDE4，该kdelibs漏洞影响具有 KDE4/KDE5 桌面环境的 Linux 和 Unix 系统。

如何缓解 FreeBSD 11 上的多个漏洞：远程代码执行和本地权限提升？

# pkg audit -F
vulnxml file up-to-date
ImageMagick7-7.0.3.7_1 is vulnerable:
ImageMagick -- multiple vulnerabilities
CVE: CVE-2017-9144
CVE: CVE-2017-9143
CVE: CVE-2017-9142
CVE: CVE-2017-9141
CVE: CVE-2017-8830
CVE: CVE-2017-8765
CVE: CVE-2017-8357
CVE: CVE-2017-8356
CVE: CVE-2017-8355
CVE: CVE-2017-8354
CVE: CVE-2017-8353
CVE: CVE-2017-8352
CVE: CVE-2017-8351
CVE: CVE-2017-8350
CVE: CVE-2017-8349
CVE: CVE-2017-8348
CVE: CVE-2017-8347
CVE: CVE-2017-8346
CVE: CVE-2017-8345
CVE: CVE-2017-8344
CVE: CVE-2017-8343
CVE: CVE-2017-7943
CVE: CVE-2017-7942
CVE: CVE-2017-7941
CVE: CVE-2017-7619
CVE: CVE-2017-7606
CVE: CVE-2017-7275
CVE: CVE-2017-6502
CVE: CVE-2017-6501
CVE: CVE-2017-6500
CVE: CVE-2017-6499
CVE: CVE-2017-6498
CVE: CVE-2017-6497
CVE: CVE-2017-5511
CVE: CVE-2017-5510
CVE: CVE-2017-5509
CVE: CVE-2017-5508
CVE: CVE-2017-5507
CVE: CVE-2017-5506
WWW: https://vuxml.FreeBSD.org/freebsd/50776801-4183-11e7-b291-b499baebfeaf.html

kdelibs-4.14.30_1 is vulnerable:
kauth: Local privilege escalation
CVE: CVE-2017-8422
WWW: https://vuxml.FreeBSD.org/freebsd/0baee383-356c-11e7-b9a9-50e549ebab6c.html

OpenEXR-2.2.0_7 is vulnerable:
OpenEXR -- multiple remote code execution and denial of service vulnerabilities
CVE: CVE-2017-9116
CVE: CVE-2017-9115
CVE: CVE-2017-9114
CVE: CVE-2017-9113
CVE: CVE-2017-9112
CVE: CVE-2017-9111
CVE: CVE-2017-9110
WWW: https://vuxml.FreeBSD.org/freebsd/803879e9-4195-11e7-9b08-080027ef73ec.html

samba46-4.6.2 is vulnerable:
samba -- remote code execution vulnerability
CVE: CVE-2017-7494
WWW: https://vuxml.FreeBSD.org/freebsd/6f4d96c0-4062-11e7-b291-b499baebfeaf.html

4 problem(s) in the installed packages found.

答案1

  • KDE 错误-无缓解措施。更新到kauth >= 5.34and kdelibs >= 4.14.32（发布后）是 KDE 人员提供的解决方案。只需等待更新的端口即可解决此问题。
  • OpenEXR 错误-无缓解措施，并且开发人员没有表现出任何迹象表明他们会很快解决这个问题。这里最好的猜测是删除这个包，如果你不真正使用它（两者都不是依赖项）。

相关内容