Nella settimana scorsa (il 16 febbraio 2016) Google e RedHat hanno reso nota una vulnerabilità che affligge le librerie GlibC o libC relative al ramo 2.9 e successive. In particolare si tratta di un critical buffer overflow che può essere innescato attraverso una doppia richiesta DNS relative ai record A/AAA. In questa situazione è possibile mandare in crash il server oppure addirittura eseguire del codice remoto.
In sostanza il problema è piuttosto rilevante perché di fatto qualsiasi macchina esposta ad internet e che possa rispondere a query DNS (ovvero la maggioranza) soffre di questo problema. Nel giro di 24 ore ovviamente sono uscite le patch, che ovviamente vanno applicate da parte dell’amministratore di sistema.
Vediamo quelle relative a Ubuntu e CentOS.
La libreria che risolve il problema è la 2.19 per Ubuntu 14.04 LTS e 2.12 per CentOS 6. Potete effettuare un veloce check attraverso il comando:
ldd --version
Nel caso di Ubuntu 14.04 LTS il pacchetto patchato è libc6:amd64 2.19-0ubuntu6.7 che potremo scoprire con il comando:
dpkg --list | grep -i libc6
Con il solito [textmarker color=”000000″]apt-get upgrade[/textmarker] dovremo trovare nella lista delle versioni aggiornabili libc6 e libc-bin ed eventuali versioni source in casi particolari.
Nel caso di una CentOS 6/7 similarmente a Ubuntu si da il classico
$ sudo yum clean all
$ sudo yum update
Anche qui per essere sicuri del pacchetto installato possiamo constatare attraverso il comando:
# rpm -q glibc
glibc-2.12-1.166.el6_7.7.x86_64
Purtroppo in entrambi i casi è altamente consigliato un riavvio del server poiché durante l’installazione delle patch potrebbero comunque essere attive delle chiamate in memoria con la libreria fallata.