Linux安全漏洞？

Question

不久前，我使用3.2.10内核启动了一个嵌入式项目。现在，该项目应该投入生产，稳定的内核为3.2.16。我不想升级任何东西以避免不兼容等等，但是如果严重的安全漏洞已经从3.2.10插入到3.2.16，我必须这样做。

在哪里可以找到这两个版本之间是否已插入了安全漏洞？我还没能在kernel.org这样的明显的地方找到答案。

Answer 1

其中一个地方是MITRE的常见的脆弱性和暴露。搜索页面是这里。我在"linux内核“上搜索了一下，发现了一堆，但是只有一个在2012年，也就是3.2版本的时候，对吧？我没有密切关注Linux开发，但我不得不理解，Linux内核开发人员的态度是将大多数“安全漏洞”视为可靠性缺陷或诸如此类的问题。

Answer 2

大多数内核安全问题只能通过加载奇怪或很少使用的模块来解决。(在过去两年中，我一直密切关注，情况就是如此)。

示例模块：

• IPX
• AppleTalk
• IPv6 (这并不奇怪，但有许多特性)
• USB/ISDN卡

因此，在这里，最简单的方法是禁用热插拔和/或自动加载模块。这在嵌入式系统上应该很容易。

除此之外，你永远不确定是否有新的特性--大多数CVE都以新模块为中心，这些模块带来了新功能。

GLibC是另一个严重安全问题的候选。因此，如果您的嵌入式系统允许一个shell，攻击者迟早会变成根用户。