Ubuntu USN-8911-1 schließt 29 CVEs im OEM-Kernel 6.17 für 24.04; Neustart und Modul-Neubau nötig
Victoria Shinder2 Min. LesezeitCanonical hat am 9. Oktober USN-8911-1 veröffentlicht, ein Sicherheitsupdate für den OEM-Kernel unter Ubuntu 24.04 LTS (noble). Es betrifft 29 CVEs. Der OEM-Kernel ist die Variante, die Ubuntu auf zertifizierten Notebooks und Desktops von Hardwarepartnern ausliefert, um neuere Hardware zu unterstützen als der Standardkernel von 24.04; Rechner mit dem generischen Kernel fallen nicht unter diese Meldung.
Was behoben wird. Einzelheiten zu den Lücken nennt die Meldung nicht. Sie hält fest, dass mehrere Sicherheitsprobleme entdeckt wurden, über die ein Angreifer das System möglicherweise kompromittieren könnte, und führt die betroffenen Bereiche auf: Treiber für Hardware-Krypto-Geräte, den Treiber des NVIDIA-Tegra-Speichercontrollers, Netzwerktreiber und USB-Core-Treiber. Die CVE-Kennungen stehen auf der Seite der Meldung; eine Gesamtbewertung gibt Ubuntu dort nicht an, jede CVE-Seite trägt ihre eigene Priorität.
Behobene Version. Das Quellpaket linux-oem-6.17 steigt auf 6.17.0-1033.33, die zugehörigen Metapakete wie linux-headers-oem-24.04, -24.04a und -24.04b ziehen mit derselben Version nach.
Zwei Punkte, die die Meldung ausdrücklich nennt. Erstens ist ein Neustart nötig: Die Installation ändert den laufenden Kernel nicht, die Fixes greifen erst nach dem Start des neuen. Zweitens hat sich die ABI geändert, daher hat der Kernel eine neue Versionsnummer. Kernelmodule von Drittanbietern – also von Hand installierte Out-of-Tree-Treiber, nicht DKMS-Pakete, die sich selbst neu bauen – müssen neu kompiliert und installiert werden. Systeme, auf denen die Standard-Metapakete installiert geblieben sind, erhalten den neuen Kernel mit einem normalen Upgrade; wurden diese Metapakete entfernt, passiert das nicht.
Was zu tun ist. Auf einem betroffenen Rechner sudo apt update && sudo apt full-upgrade ausführen, prüfen, ob ein Kernel 6.17.0-1033 installiert ist, von Hand installierte Module neu bauen und neu starten. uname -r zeigt danach, ob der neue Kernel läuft. Wer Kernel in Flotten festhält, sollte den Neustart einplanen, statt den gepatchten Kernel nur installiert liegen zu lassen – in diesem Zustand meldet die Maschine das Update als eingespielt und führt weiter den verwundbaren Code aus.
Quelle: Ubuntu Security Notice USN-8911-1 — https://ubuntu.com/security/notices/USN-8911-1