HOWTO: Update des Kernels bei Debian

[arty]

Aufgrund einiger Sicherheitslücken im Linuxkernel gibts seit dem 9.6.2003 neue Kernelimages von Debian. Hier die Lücken in der Ã?bersicht:

A number of vulnerabilities have been discovered in the Linux kernel.

- - CVE-2002-0429: The iBCS routines in arch/i386/kernel/traps.c for
Linux kernels 2.4.18 and earlier on x86 systems allow local users to
kill arbitrary processes via a a binary compatibility interface
(lcall)

- - CAN-2003-0001: Multiple ethernet Network Interface Card (NIC) device
drivers do not pad frames with null bytes, which allows remote
attackers to obtain information from previous packets or kernel
memory by using malformed packets

- - CAN-2003-0127: The kernel module loader allows local users to gain
root privileges by using ptrace to attach to a child process that is
spawned by the kernel

- - CAN-2003-0244: The route cache implementation in Linux 2.4, and the
Netfilter IP conntrack module, allows remote attackers to cause a
denial of service (CPU consumption) via packets with forged source
addresses that cause a large number of hash table collisions related
to the PREROUTING chain

- - CAN-2003-0246: The ioperm system call in Linux kernel 2.4.20 and
earlier does not properly restrict privileges, which allows local
users to gain read or write access to certain I/O ports.

- - CAN-2003-0247: vulnerability in the TTY layer of the Linux kernel
2.4 allows attackers to cause a denial of service ("kernel oops")

- - CAN-2003-0248: The mxcsr code in Linux kernel 2.4 allows attackers
to modify CPU state registers via a malformed address.

- - CAN-2003-0364: The TCP/IP fragment reassembly handling in the Linux
kernel 2.4 allows remote attackers to cause a denial of service (CPU
consumption) via certain packets that cause a large number of hash
table collisions

Ein Update funktioniert so:

1. Sichern des alten Kernels / Module:
- Sichern der Module:

Code: Select all

mv /lib/modules/2.4.18-bf2.4/ /lib/modules/2.4.18-bf2.4.old

- Sichern des Kernels

Code: Select all

cp /boot/config-2.4.18-bf2.4 /boot/config-2.4.18-bf2.4.old
cp /boot/System.map-2.4.18-bf2.4 /boot/System.map-2.4.18-bf2.4.old
cp /boot/vmlinuz-2.4.18-bf2.4 /boot/vmlinuz-2.4.18-bf2.4.old

2. Kernel installieren mit

Code: Select all

apt-get update
apt-get upgrade

3. Neustarten (leider....)

Code: Select all

shutdown -r now

4. in /var/log/syslog schauen
5. Ã?berprüfen, ob überhaupt der richtige Kernel geladen wurde

Code: Select all

uname -a

Das sollte folgendes ausspucken:

Linux p15105691 2.4.18-bf2.4 #1 Sun Jun 8 23:58:27 UTC 2003 i686 unknown

bye
arty + Jtb

[dea]

Mit apt-get update && apt-get upgrade geht's allerdings nur, wenn vorher bereits ein Kernel-Image mit 'dpkg -i' installiert wurde!
Wer das noch nicht explizit gemacht hat verwendet statt des Aufrufs von apt-get den Befehl dpkg -i <Kernel-Image-Paket> !

[kase]

bei mir ging es auch so ohne Probleme...

Oder wird bei CCs Script automatisch ein Kernel Image mittels dpkg -i installed ?

[captaincrunch]

Nö, das macht auch nur apt-get ... ;)

[dea]

Es hängt sicherlich stark von der Art der Installation ab. Folgende Szenarien sind denkbar (unvollständig):

- Debian wurde nach der offiziellen Anleitung (oder vergleichbaren) aus einem laufenden System installiert -> 'dpkg -i' weil dabei kein "kernel-image" installiert wird

- Der Kernel wurde anhand der mit 'apt-get source' installierten Quellen aber ohne Verwendung von make-kpkg neu gebaut -> 'dpkg -i' bzw. erneut 'apt-get source <kernel-image>' da auch hierbei die Paketverwaltung umgangen wurde

- Das System wurde mit einem expliziten Aufruf von 'apt-get install <kernel-image>' installiert -> 'apt-get upgrade' da in derlei Fällen die Paketverwaltung über die Installation informiert ist (hindert aber keinen an 'dpkg -i' *gg*)

Wie kann ich das feststellen?

- 'dpkg -l kernel-image*' - wenn vor dem entsprechenden Paket 'ii' steht ist das Paket installiert

- 'apt-show-versions -r -p kernel-image*' - die Ausgabe ist selbsterklärend, wenn keine kommt ist auch nichts installiert

- dselect/aptitude

- und viele, viele Tools wie etwa apt-grep usw. :)

[crasline]

hmm, und woran kanns liegen, wenn apt-get zwar alles installiert anzeiget und ich auch nen reboot gemacht hab, trotzdem der alte Kernel angezeigt wird?

Code: Select all

2.4.18-grsec-1.9.4 #1 Thu Jun 5 13:30:09 CEST 2003 i686 unknown

[floschi]

Es gibt bei apt-get diverse Abbruchszenarien, gerade wenn du grsec drauf kompiliert hast, wirste wahrscheinlich eben nicht "keine Probleme" gehabt haben :P

Also auf Fehlermeldungen aufpassen...

[crasline]

ja aber dann würde mir doch apt-get nicht alles als "up to date" anzeigen ..

[captaincrunch]

ja aber dann würde mir doch apt-get nicht alles als "up to date" anzeigen ..

Im Falle von Kernelpaketen sagt "up to date" gar nichts aus, da diese (vernünftigerweise) nicht automatisch upgedatet werden.

[dea]

desrum man ja auch besser 'dpkg -i' nehmen sollte ;)

Allerdings ist das Handling des Kernels in Verbindung mit der Pakteverwaltung immer noch in der Diskussion. So wie es derzeit aussieht, wird wahrscheinlich in sarge ein erweitertes und somit für den Anwender unkomplizierteres Handling eingeführt...

[[-ay-]gothic]

nu hab ich das wie im howto beschrieben gemacht und der server (1&1) bootet nur noch im rescuesystem. mal sehen ob ich als linuxnoob wieder hinbekomme ;-)