Sikkerhetsvarsel/Security bulletin 2016-02-18: Alvorlig sårbarhet i glibc / Vulnerability in glibc

Det har blitt gjort kjent en alvorlig sårbarhet i glibc 
(https://bugzilla.redhat.com/show_bug.cgi?id=1293532 og https://access.redhat.com/security/cve/CVE-2015-7547).

Red Hat har sluppet oppdatering som fikser sårbarheten for RHEL6 og RHEL7. Det har også kommet oppdateringer til Fedora.

For å sjekke om en maskin er patchet for sikkerhetshullet, kan man verifisere at riktig versjon av RPM-pakken «glibc» er installert. Kommandoen «rpm -q glibc» skal gi følgende output:

RHEL7:

RHEL6:

Merk at dersom både 32bit- og 64bit-versjonen av glibc er installert på 64bit OS, vil man få ut to linjer som i eksemplene over.

Etter at glibc er oppgradert, må maskinen restartes. Dette må gjøres så snart som mulig og innen 15:00 fredag 19. februar, hvis man ikke har avtalt annen tidsplan for oppgradering/restart med UiO-CERT.

Etter 1500 vil USIT begynne arbeidet med å restarte gjenværende masiner.                                                                                      

Det blir sendt ut varsel til alle site-admins med oversikt over hvilke maskiner som mangler oppdatering / restart.

Husk at også annet utstyr som kjører linux vil kunne være berørt. Vi anmoder alle om å sørge for at alt linux-basert utstyr er fullt oppdatert.

Oppfølging av sikkerhetshullet gjøres av UiO-CERT i samarbeid med driftsgrupper ved USIT. Ved spørsmål, ta kontakt med:

cert@usit.uio.no  - for henvendelser vedrørende selve sikkerhetshullet
usit-gsd@usit.uio.no  - for henvendelser relatert til patching og reboot av Linux-maskiner

----

A vulnerability has been discovered in glibc (https://bugzilla.redhat.com/show_bug.cgi?id=1293532 and https://access.redhat.com/security/cve/CVE-2015-7547).

Red Hat has released updates for RHEL6 and RHEL7. There is also available updates for Fedora.

To check if a machine has the correct version of glibc installed, run "rpm -q glibc" and verify that the output matches:

RHEL7:

RHEL6:

If you have both 32-bit and 64-bit versions of glibc installed, the output of the command will show both versions.

All machines must be rebooted after glibc has been updated, this has to be done as soon as possible and befor 15:00 friday 19th of February, unless you have made an agreement with UiO-CERT.

After this deadline, USIT will start rebooting remaining hosts.                                                                                               

If you have any questions, please contact:

cert@usit.uio.no – for questions about the vulnarability
usit-gsd@usit.uio.no - for questions related to upgrading and rebooting linux machines.