OHaHa's學習心得

安全通告: ipv6 (SA-09:10.ipv6)

主題:         Missing permission check on SIOCSIFINFO_IN6 ioctl
分類:         core
模組:         netinet6
發布時間:     2009-06-10
影響版本:     All version of FreeBSD
修正版本:   2009-06-10 10:31:11 UTC (RELENG_7, 7.2-STABLE)
              2009-06-10 10:31:11 UTC (RELENG_7_2, 7.2-RELEASE-p1)
              2009-06-10 10:31:11 UTC (RELENG_7_1, 7.1-RELEASE-p6)
              2009-06-10 10:31:11 UTC (RELENG_6, 6.4-STABLE)
              2009-06-10 10:31:11 UTC (RELENG_6_4, 6.4-RELEASE-p5)
              2009-06-10 10:31:11 UTC (RELENG_6_3, 6.3-RELEASE-p11)
I.  相關背景資料
IPv6是新的網際網路協定被設計用來取代目前的網際網路協定(IPv4). FreeBSD的IPv6網路堆疊常用來透過ioctl介面來設定.

II.  問題描述
SIOCSIFINFO_IN6 缺乏一個必要性的權限檢查.

III. 影響
本機使用者包含非root使用者能設定某些IPv6介面資訊.這可能包含改變連結的MTU或是關閉介面.
此影響只針對IPv6,IPv4系統不受此威脅影響.

IV. 替代方案
沒有任何替代方案,但系統若沒有不受信任的本機使用者不受影響.

V.   解決方案
以下擇一即可:

1) 昇級系統至 6-STABLE, 7-STABLE, 或 本安全通告發布日期之後的 RELENG_7_1, RELENG_7_2 , RELENG_6_4 , RELENG_6_3 版本.

2) 修補現有系統:
a)下載修補檔案 : 以下修補提供給 6.3 , 6.4 , 7.1 , 7.2 系統
[FreeBSD 6.x]
# fetch http://security.FreeBSD.org/patches/SA-09:10/ipv6-6.patch
# fetch http://security.FreeBSD.org/patches/SA-09:10/ipv6-6.patch.asc

[FreeBSD 7.x]
# fetch http://security.FreeBSD.org/patches/SA-09:10/ipv6.patch
# fetch http://security.FreeBSD.org/patches/SA-09:10/ipv6.patch.asc

b) 以root執行下列指令:
# cd /usr/src
# patch < /path/to/patch

c) 重新編譯kernel且重新開機.