Ubuntuのセキュリティ声明

私たちは知りません。指定されたcveを読み込みます。すでにそこに指定されていると仮定しないでください。

ただし、一致するatherosカードを持たないシステムは、ath9kドライバをロードする可能性が低いため、活用する必要があることを示唆することは明確ではありません。

一般的に、エンドユーザーはこれらのセキュリティ勧告を読んでも役に立ちません。それにもかかわらず、エンドユーザーができることは、システムを最新の状態に保つことです。したがって、セキュリティ更新プログラムを有効にすることは、エンドユーザーがしなければならないことです。次のリストに公開すると、不要なパニックが発生する可能性があります。

「特定のエラー条件が正しく処理されていないため、use-after-freeの脆弱性が発生しました」は、実際にどのようなエラー条件、どの外部条件で発生する可能性があるのか​​、ローカル攻撃者にどのような制御が必要かを指定しません。また、ドライバの use-after-free の脆弱性により、攻撃者がここで何ができるかを正確に説明できますか？それはちょうどいくつかのメモリが解放された後に使用されたと言います（その意味を説明できれば良いでしょう。可能であれば平均的なエ​​ンドユーザーよりはるかに高いレベルです）。ドライバをクラッシュさせるよりも悪いことをするようにシステムの残りの部分を変更できるかどうかについての情報は提供されていません！

これがあなたに影響を与えるかどうかを適格に評価するには、cveを理解する必要があります！たとえば、脆弱性はローカルユーザーにのみ該当します。つまり、お使いのコンピュータですでに実行されているプログラムの中には、おそらくユーザーや他のユーザーが信頼できないソフトウェアを実行していますか？ワイヤレスドライバがクラッシュする可能性があります。いいえ！ワイヤレスカードを搭載したデバイスの恐ろしいシナリオは、何百人ものユーザーがいるパブリックサーバーではないかもしれません！対照的に、プログラムは脆弱性なしに許可されたタスクを実行し、データをインターネットに密かに送信します。

（実際のリスクは、リモート攻撃者がデーモンの動作を制御し、ドライバーをクラッシュさせるのではなく、デーモンの権限を高める可能性がある脆弱性を持つ一部のサーバーデーモンによって悪用される可能性があるということですが、これには必要です。脆弱なデーモンそして、このバグの実際の権限上昇エクスプロイトは現在のところ推測のままですが、Ubuntuセキュリティアドバイザリで衝突が発生する可能性が高いです。 Ubuntuによると、優先順位は「中」であり、これは確かに「究極」を意味します。