Ubuntu hàng tuần #3

Ubuntu 24.04 Noble Numbat

Thời gian đến ngày phát hành chính thức của Ubuntu 24.04 (Noble Numbat) chỉ còn một tuần và gần như các bước chuẩn bị đã hoàn tất. Danh sách FFE chỉ còn lại các vấn đề không quan trọng hoặc sẽ được giữ lại đến sau khi release. Có thể khẳng định đến thời điểm này Ubuntu 24.04 sẽ chắc chắn được phát hành vào ngày 25 tháng 4 tới. Noble Numbat sẽ là phiên bản được hỗ trợ dài hạn (Long Term Support - LTS), đồng nghĩa với việc phiên bản này sẽ nhận được hỗ trợ mặc định 5 năm, hỗ trợ ESM trong 5 năm, và hỗ trợ Legacy 2 năm. ESM và Legacy sẽ được cung cấp như là gói dịch vụ bổ sung và nâng cao của Canonical.

Noble Numbat sẽ được phát hành với kernel 6.8 với rất nhiều tính năng mới như 1) hỗ trợ LAM (Linear Address Masking) của Chip Intel, 2) quản lý năng lượng hiệu quả hơn, 3) và hỗ trợ nhiều phần cứng hơn chẳng hạn Broadcom BCM2712. Giao diện của phần mềm cài đặt Noble cũng như kho phần mềm (Software Center) được cải biến để trở nên thân thiện hơn với người dùng. Gnome46 phát hành với Ubuntu 24.04 bao gồm rất nhiều tính năng giúp người dùng Desktop sử dụng máy tính hiệu quả hơn. Có thể nói Linux Desktop trở nên thân thiện hơn với người dùng sau mỗi lần phát hành của Ubuntu LTS.

Loại bỏ các protocol lỗi thời TLS1.0 / 1.1

Các giao thức TLS1.0/1.1 đã lỗi thời (theo như RFC 8996) và do vậy hỗ trợ cho những giao thức này sẽ được loại bỏ khỏi các phần mềm được hỗ trợ bởi Ubuntu. Hiện tại gói phần mềm openssl, gnutls và rabbitmq-server là các gói sẽ được cập nhật để loại giao thức TLS1.0/1.1 trong các phiên bản sắp tới của Ubuntu.

Cập nhật USN

USN-6732-1: WebKitGTK vulnerabilities

Lỗi bảo mật phát hiện ở gói phần mềm webkit2gtk của thư viện GTK+. Người dùng truy cập website độc hại qua webkit2 có thể sẽ bị tấn công từ chối dịch vụ hoặc bị chạy mã độc.

Nâng cấp gói phần mềm libjavascriptcoregtk và libwebkit2gtk lên các phiên bản dưới đây.

Phiên bản libjavascriptcoregtk libwebkit2gtk
Ubuntu 23.10 2.44.0-0ubuntu0.23.10.1
Ubuntu 22.04 2.44.0-0ubuntu0.22.04.1

Các CVE liên quan: CVE-2024-23254, CVE-2024-23280, CVE-2024-23284, CVE-2023-42843, CVE-2024-23263, CVE-2023-42950, CVE-2023-42956, CVE-2024-23252

USN-6733-1: GnuTLS vulnerabilities

GnuTLS có thể bị tấn công side-channel khi thực hiện một số xử lý ECDSA. CVE-2024-28834 GnuTLS xử lý không chính xác một số tệp PEM. CVE-2024-28835

Cập nhật gói phần mềm libgnutls30 lên các phiên bản sau:

Phiên bản libgnutls30
Ubuntu 23.10 3.8.1-4ubuntu1.3
Ubuntu 22.04 3.7.3-4ubuntu1.5
Ubuntu 20.04 3.6.13-2ubuntu1.11

USN-6734-1: libvirt vulnerabilities

libvirt xử lý không đúng một số API CVE-2024-1441, hoặc xử lý không đúng các RPC calls CVE-2024-2494, hay không xử lý đúng một số giao diện host CVE-2024-2496.

Phiên bản libvirt-daemon, libvirt-daemon-system, libvirt0
Ubuntu 23.10 9.6.0-1ubuntu1.1
Ubuntu 22.04 8.0.0-1ubuntu7.10
Ubuntu 20.04 6.0.0-0ubuntu8.19

USN-6735-1: Node.js vulnerabilities

Một vài lỗi bảo mật ở gói phần mềm nodejs. nodejs có thể xử lý không chính xác khi một khóa công khai không hợp lệ được sử dụng trong quá trình tạo chứng thực x509 CVE-2023-30588. Nodejs xử lý không đúng chuỗi truy vấn HTTP khi mã phân cách là CRLF CVE-2023-30589. Tài liệu của hàm generateKeys() không chính xác CVE-2023-30590

Nâng cấp các gói phần mềm libnode-dev, libnode108, nodejs, và nodejs-doc lên các phiên bản sau:

Phiên bản libnode-dev, libnode108, nodejs, nodejs-doc
Ubuntu 23.10 18.13.0+dfsg1-1ubuntu2.2
Ubuntu 22.04 12.22.9~dfsg-1ubuntu3.5
Ubuntu 20.04 10.19.0~dfsg-3ubuntu1.6
Ubuntu 18.04 8.10.0~dfsg-2ubuntu0.4+esm5
Ubuntu 16.04 4.2.6~dfsg-1ubuntu4.2+esm3
Ubuntu 14.04 0.10.25~dfsg2-2ubuntu1.2+esm2

USN-6736-1: klibc vulnerabilities

zlib bao gồm trong gói phần mềm klibc có một số lỗi bảo mật chẳng hạn xử lý phép toán con trỏ không chính xác CVE-2016-9840 CVE-2016-9841, hay truy cập bộ nhớ không chính xác khi xử lý nén và giải nén CVE-2018-25032 CVE-2022-37434

Cập nhật gói phần mềm klibc-utils và libklibc lên các phiên bản sau đây.

Phiên bản klibc-utils libklibc
Ubuntu 23.10 2.0.13-1ubuntu0.1
Ubuntu 22.04 2.0.10-4ubuntu0.1
Ubuntu 20.04 2.0.7-1ubuntu5.2
Ubuntu 18.04 2.0.4-9ubuntu2.2+esm1
Ubuntu 16.04 2.0.4-8ubuntu1.16.04.4+esm2
Ubuntu 14.04 2.0.3-0ubuntu1.14.04.3+esm3

USN-6724-2: Linux kernel vulnerabilities

Đây là lỗi bảo mật xảy ra đối với kernel dành cho AWS (Xen) và Raspberry PI. Các CVE liên quan: CVE-2023-46838, CVE-2023-50431, CVE-2023-52429, CVE-2024-23851, CVE-2023-6610, CVE-2024-22705, CVE-2024-23850

Ngoài ra một loạt các CVE liên quan đến phần lõi networking của Kernel Linux cũng đã được vá. Các CVE liên quan: CVE-2023-52434, CVE-2023-52436, CVE-2023-52435, CVE-2023-52439, CVE-2023-52438

Chú ý là lỗi bảo mật này chỉ xảy ra đối với kernel linux-aws-6.5 và linux-raspi. Khi cập nhật kernel, máy tính cần được khởi động lại để đảm bảo kernel mới được chạy.

USN-6729-2: Apache HTTP Server vulnerabilities

Đây là bản vá lỗi cho gói phần mềm apache2 cho Ubuntu 16.04 và Ubuntu 18.04. Chi tiết về các lỗi này có thể tham khảo USN-6729-1

Nâng cấp gói phần mềm apache2 lên các phiên bản dưới đây để sửa lỗi.

Phiên bản apache2
Ubuntu 18.04 2.4.29-1ubuntu4.27+esm2
Ubuntu 16.04 2.4.18-2ubuntu3.17+esm12

USN-6737-1: GNU C Library vulnerability

iconv là một tool dùng để chuyển đổi một chuỗi sang các chuẩn mã định dạng khác nhau. Ví dụ về cách dùng iconv trong libc có thể tham khảo tại tài liệu chính thức của thư viện này. iconv trong libc không xử lý đúng một số chuỗi và kẻ tấn công có thể xử dụng lỗi này để gây sập chương trình hoặc chạy mã độc.

Các lỗi liên quan đến libc thường khá nghiêm trọng khi rất nhiều các ứng dụng sử dụng thư viện libc trên Linux. Cập nhật gói phần mềm libc6 và khởi động lại máy tính để sửa lỗi bảo mật này.

Phiên bản libc6
Ubuntu 23.10 2.38-1ubuntu6.2
Ubuntu 22.04 2.35-0ubuntu3.7
Ubuntu 20.04 2.31-0ubuntu9.15

Một số các lỗi bảo mật liên quan đến Kernel

Do danh sách lỗi Kernel rất nhiều nên mình chỉ liệt kê các USN liên quan đến Kernel ở đây. Trong khi một số lỗi bảo mật ảnh hướng đến một phần nhỏ của Kernel như các phần liên quan đến AWS hay Xilinx, một số lỗi ảnh hưởng đến Kernel nói chung.