10 aggiornamenti di sicurezza importanti per Ubuntu 12.04 Precise Pangolin

Sappiamo tutti quanto sia importante mantenere aggiornato il proprio sistema operativo, ma è parimenti esperienza comune che spesso siano proprio gli aggiornamenti a introdurre nuovi bug.

Ubuntu segue delle linee guida ben precise per gestire questa situazione.

La chiave di volta dell’intero discorso è che, una volta rilasciata la release, gli aggiornamenti non si fanno affatto, a meno che non riguardino vulnerabilità di sicurezza o bug particolarmente significativi.

Addirittura, nell’ottica di stabilizzare la release, già durante le ultime fasi di sviluppo l’ingresso di nuovi pacchetti dei vari software è sottoposto ad un controllo particolarmente rigido (una fase nota agli sviluppatori come “Feature Freeze”, appunto).

Gli aggiornamenti proposti a continuazione fanno parte del bollettino di sicurezza settimanale rilasciato da Canonical e riguardano in particolare i primi aggiornamenti importanti sulla sicurezza riguardanti la neonata Ubuntu 12.04 Precise Pangolin:

1. - GnuPG Privacy Guard.

GnuPG  è lo strumento GNU che rende sicura la comunicazione e la conservazione di dati.
gpgv è una versione ridotta di gnupg capace solo di verificare le firme. È più piccolo della versione completa di gnupg e usa un metodo diverso (e semplificato) per controllare che le chiavi pubbliche usate per creare la firma siano affidabili.
Modifiche per le versioni:
Versione installata: 1.4.11-3ubuntu2
Versione disponibile: 1.4.11-3ubuntu2.1
Versione 1.4.11-3ubuntu2.1:
  * debian/patches/long-keyids.dpatch: Use the longest key ID available
    when requesting a key from a key server.

2.- Alternative JVM per Open JDK.

Per essere in grado di eseguire programmi Java, è possibile installare il Java runtime attraverso il pacchetto jre7-openjdk disponibile nei repository ufficiali. È anche disponibile un Java Development Kit installabile attraverso il pacchetto jdk7-openjdk.
Per chi fosse interessato alla precedente versione di Java (Java 6), è possibile installare sia il JRE che il JDK attraverso il solo pacchetto openjdk6.
Sarà probabilmente necessario installare il pacchetto icedtea-web-java7 per utilizzare le funzionalità di Java negli web browsers (Java applets e Java Web Start).
2.a) Usando Cacao:
Modifiche per le versioni:
Versione installata: 6b24-1.11.3-1ubuntu0.12.04.1
Versione disponibile: 6b24-1.11.4-1ubuntu0.12.04.1
Versione 6b24-1.11.4-1ubuntu0.12.04.1:
  * SECURITY UPDATE: Update to IcedTea 6 1.11.4
    - Security fixes:
      - S7162476, CVE-2012-1682: XMLDecoder security issue via
        ClassFinder
      - S7163201, CVE-2012-0547: Simplify toolkit internals references
    - Bug fixes:
      - S7182135: Impossible to use some editors directly
      - S7185678: java/awt/Menu/NullMenuLabelTest/NullMenuLabelTest.java
        failed with NPE

2.b) Usando JAM VM.

Modifiche per le versioni:
Versione installata: 6b24-1.11.3-1ubuntu0.12.04.1
Versione disponibile: 6b24-1.11.4-1ubuntu0.12.04.1
Versione 6b24-1.11.4-1ubuntu0.12.04.1:
  * SECURITY UPDATE: Update to IcedTea 6 1.11.4
    - Security fixes:
      - S7162476, CVE-2012-1682: XMLDecoder security issue via
        ClassFinder
      - S7163201, CVE-2012-0547: Simplify toolkit internals references
    - Bug fixes:
      - S7182135: Impossible to use some editors directly
      - S7185678: java/awt/Menu/NullMenuLabelTest/NullMenuLabelTest.java
        failed with NPE

3.- Libreria per analizare file EXIF.

La maggior parte delle fotocamere digitali produce file EXIF, cioè file JPEG con etichette aggiuntive che contengono informazioni sull'immagine. La libreria EXIF permette di analizzare un file EXIF e leggere i dati presenti in tali etichette.
Modifiche per le versioni:
Versione installata: 0.6.20-2
Versione disponibile: 0.6.20-2ubuntu0.1
Versione 0.6.20-2ubuntu0.1:
  * SECURITY UPDATE: denial of service and possible info disclosure via
    corrupted EXIF_TAG_COPYRIGHT tag (LP: #1024213)
    - debian/patches/CVE-2012-2812.patch: fix reading tags that aren't
      NUL-terminated in libexif/exif-entry.c.
    - CVE-2012-2812
  * SECURITY UPDATE: denial of service and possible info disclosure via
    UTF-16 tag (LP: #1024213)
    - debian/patches/CVE-2012-2813.patch: don't read past the end of a
      tag when converting from UTF-16 in libexif/exif-entry.c.
    - CVE-2012-2813
  * SECURITY UPDATE: denial of service and possible code execution via
    crafted tags (LP: #1024213)
    - debian/patches/CVE-2012-2814.patch: fix buffer overflows in
      libexif/exif-entry.c.
    - CVE-2012-2814
  * SECURITY UPDATE: denial of service and possible info disclosure via
    crafted tags (LP: #1024213)
    - debian/patches/CVE-2012-2836.patch: fix buffer overflows in
      libexif/exif-data.c
    - CVE-2012-2836
  * SECURITY UPDATE: denial of service via crafted tags (LP: #1024213)
    - debian/patches/CVE-2012-2837.patch: fix some possible
      division-by-zeros in libexif/olympus/mnote-olympus-entry.c.
    - CVE-2012-2837
  * SECURITY UPDATE: denial of service and possible code execution via
    crafted tags (LP: #1024213)
    - debian/patches/CVE-2012-2840.patch: fix off-by-one in
      libexif/exif-utils.c.
    - CVE-2012-2840
  * SECURITY UPDATE: denial of service and possible code execution via
    incorrect buffer size (LP: #1024213)
    - debian/patches/CVE-2012-2841.patch: validate buffer length in
      libexif/exif-entry.c.
    - CVE-2012-2841

4.- Javascript Engine Library per GTK+

-->

Modifiche per le versioni:
Versione installata: 1.8.0-0ubuntu2
Versione disponibile: 1.8.1-0ubuntu0.12.04.1
Versione 1.8.1-0ubuntu0.12.04.1:
  * New upstream security release
    - see LP: #1027283 for USN information

5.- MIT Kerberos runtime library Crpto.

Kerberos è un sistema per l'autenticazione di utenti e servizi in una rete. Kerberos è un servizio posto in atto da una terza parte affidabile; ciò significa che c'è una terza parte, il server Kerberos, di cui si fidano tutte le entità in rete (utenti e servizi, normalmente chiamati "principal").
Questa è l'implementazione di riferimento di Kerberos V5 fatta dal MIT.
This package contains the runtime cryptography libraries used by applications and Kerberos clients.
Modifiche per le versioni:
Versione installata: 1.10+dfsg~beta1-2
Versione disponibile: 1.10+dfsg~beta1-2ubuntu0.3
Versione 1.10+dfsg~beta1-2ubuntu0.3:
  * SECURITY UPDATE: KDC heap corruption and crash vulnerabilities
    - debian/patches/MITKRB5-SA-2012-001.patch: initialize pointers both
      at allocation and assignment time
    - CVE-2012-1015, CVE-2012-1014
  * SECURITY UPDATE: denial of service in kadmind (LP: #1009422)
    - debian/patches/krb5-CVE-2012-1013.patch: check for null password
    - CVE-2012-1013
  * SECURITY UPDATE: insufficient ACL checking on get_strings/set_string
    - debian/patches/krb5-CVE-2012-1012.patch: make the access
      controls for get_strings/set_string mirror those of
      get_principal/modify_principal
    - CVE-2012-1012

Versione 1.10+dfsg~beta1-2ubuntu0.2:
  * Re-introduce libkrb53 as a transitional package to libkrb5-3.
    Also revert the Conflicts against libkrb53 to the old versioned
    Break/Replaces. (LP: #1007314)

Versione 1.10+dfsg~beta1-2ubuntu0.1:
  * debian/patches/preauth-context.patch: fix preauth context initialisation
    (LP: #988520).

6.- Libre Office Human e Tango.

Modifiche per le versioni:
Versione installata: 1:3.5.2-2ubuntu1
Versione disponibile: 1:3.5.4-0ubuntu1.1
Versione 1:3.5.4-0ubuntu1.1:
  * SECURITY UPDATE: arbitrary code execution via XML manifest encryption
    tag parsing code
    - debian/patches/CVE-2012-2665.diff: merge base64 encoders/decoders,
      check key size, unwind manifest xml parser and follow tag hierarchy
      model, count and order of receipt of properties doesn't matter.
    - debian/patches/CVE-2012-2665-binfilter.diff: use sax::Converter::
      base64 code instead, ThreeByteToFourByte and friends are no longer in
      use.
    - patches taken from Debian 1:3.5.4-7 package.
    - CVE-2012-2665  [ Rene Engelhard ]
  * adapt officebean fix (fdo#49580)

Versione 1:3.5.3-0ubuntu1:
  * bump version to final, use debian tarballs

Versione 1:3.5.3~rc2-0ubuntu1~ppa2:
  * reduce l10n set for ppa builds

Versione 1:3.5.2-2ubuntu3:
  * add missing mimetypes to impress.desktop (LP: #904212)
  * Remove SalDisplay::GetKeyboardName (LP: #818761)
  * cherry-pick c6e83cc1711e5d4f1025316e0824640e73c1da2d from debian:
    - debian/libreoffice-common.postrm.in: fix typo to actually try to rm -rf
      /var/lib/libreoffice/share/prereg
  * cherry-pick 01fbc48a560cdc32a32b044c7fa290462a034479 from debian: (LP: #986205)
    - readd move of libdbalo.so to -base-core (closes: #670350)

Versione 1:3.5.2-2ubuntu2:
  * remove presentation templates for install media size (LP: #958384)
  * fix quicklist patch (LP: #950825)
  * add visio mimetype to libreoffice draw desktop file
  * add recommend to -gnome|-kde from libreoffice metapackage
    (LP: #841696)
  * fix typo in unity quicklist for zh_CN/Base (LP: #984893)
  * backport fix for findbar crash by Michael Meeks (LP: #975430)
  * readd updated Ubuntu brand palette colors (LP: #753627)
  * default to ~/Documents for saving, find templates in ~/Templates
    (LP: #973134)
  * tweak bibliography patch again (LP: #527938)
  * cherry-pick 0a20b5e181a4317ee838064ea122e753ab935430 from debian:
    - add ulimit -c unlimited before make check call to catch
      backtraces on sporatic soffice.bin crashes "failing" the build;
      build-depend on gdb if RUN_MAKE_CHECK=y
  * cherry-pick 1fbcf3815d89f87909e9003292d27fcf37249830 from debian:
    - debian/patches/fix-system-lpsolve-build.diff: use -Wl$(COMMA)-rpath as
      otherwise gbuild strips everything after the , away;
      makes it actually set the rpath

7.- Python per Gnome HML Library.

XML è un metalinguaggio che permette di progettare un proprio linguaggio di markup. Un linguaggio regolare di markup definisce il modo per descrivere informazioni in una determinata classe di documenti (come ad esempio l'HTML). XML permette di definire un proprio linguaggio di markup personalizzato per molte classi di documenti. Permette di fare questo perché è scritto in SGML, il metalinguaggio standard internazionale per linguaggi di markup.
This package contains the files needed to use the GNOME XML library in Python programs.
Modifiche per le versioni:
Versione installata: 2.7.8.dfsg-5.1ubuntu4
Versione disponibile: 2.7.8.dfsg-5.1ubuntu4.1
Versione 2.7.8.dfsg-5.1ubuntu4.1:
  * SECURITY UPDATE: Fix an off by one pointer access in xpointer.c
    - d8e1faeaa99c7a7c07af01c1c72de352eb590a3e
    - CVE-2011-3102

8.- Librerie OpenLDAP.

Queste sono librerie dinamiche per i server e client OpenLDAP (Lightweight Directory Access Protocol - Protocollo leggero di accesso a directory)
Modifiche per le versioni:
Versione installata: 2.4.28-1.1ubuntu4
Versione disponibile: 2.4.28-1.1ubuntu4.1
Versione 2.4.28-1.1ubuntu4.1:
  * Fix issue with intermittent connection issues when using LDAPv3
    protocol (LP: #1023025):
    - d/patches/its-7107-fix-Operation-init-on-reuse.diff: Cherry picked
      patch from upstream VCS which ensures objects are initialized before
      re-use.

9.- LightDM GObject.

A GObject based library for LightDM clients to use to interface with LightDM.
Modifiche per le versioni:
Versione installata: 1.2.1-0ubuntu1
Versione disponibile: 1.2.1-0ubuntu1.1
Versione 1.2.1-0ubuntu1.1:
  * debian/patches/05_utmp.patch:
    - Add utmp support (LP: #870297)

10.- PulseAudio Librerie.

PulseAudio, prima chiamato Polypaudio, è un server sonoro per sistemi POSIX e WIN32. È un rimpiazzo perfetto per il server sonoro ESD con latenza, qualità di missaggio/ricampionamento e architettura generale molto migliori.
Librerie client usate dalle applicazioni che accedono a un server audio PulseAudio attraverso l'interfaccia nativa di PulseAudio.

Modifiche per le versioni:
Versione installata: 1:1.1-0ubuntu15
Versione disponibile: 1:1.1-0ubuntu15.1
Versione 1:1.1-0ubuntu15.1:
  * 0621-Add-special-profiles-for-some-laptops-missing-speake.patch:
    Fix missing internal mic and speaker not showing for some laptops
    (LP: #946232)

 

Ricerca personalizzata

Se ti è piaciuto l'articolo , iscriviti al feed cliccando sull'immagine sottostante per tenerti sempre aggiornato sui nuovi contenuti del blog: