如何正确阅读 CVE - 2016 - 5696

信息安全 ubuntu cve
2021-08-10 16:55:15

Ubuntu CVE Tracker 页面包含多个与内核包相关的表格,其中一些说 DNE ,其他的pending以及每个旁边的版本。我想知道如何正确阅读每个表格。下一个pending版本是指发布修复程序的内核版本吗?

问题的背景:我主要在 Ask Ubuntu 网站上回答问题。最近,该网站上的一位新用户确信我误解了上述 CVE 报告,以至于以非常侵入性的方式编辑了我的原始答案。

坦率地说,CVE 页面确实让不经常阅读 CVE 报告的人感到困惑。因此,很高兴知道如何正确阅读这些报告以备将来使用,并获得第 3 方的意见。

1个回答

待定版本旁边的版本是指发布修复程序的内核版本吗?

是的 - 更准确地说,“待定”旁边的版本是指包含修复程序的沿袭中的软件包版本。

有许多针对不同硬件平台和其他用例的上游内核源代码的二进制打包——“linux”、“linux-mako”、“linux-snapdragon”等——还有很多发布血统——Ubuntu 12.04 LTS/ 14.04/etc- 同时维护的所有软件包。

因此,上游错误可能需要在多个沿袭的相同来源的多个包装中修复。由于复杂性,使用分类流程来进行相关分类和跟踪工作。此页面报告此特定错误的分类过程的状态。

这可以追踪如下:

  • 选择其中一个软件包-“linux”-和其中一个血统-“Ubuntu 12.04 LTS”。

    该表指示该沿袭中该软件包的修复状态为“待定”。将包含该沿袭中的修复程序的软件包版本是“3.2.0-109.150”。

  • 要确认,请点击包的沿袭链接 - https://launchpad.net/ubuntu/precise/+source/linux

  • 向下滚动到 lineage-package 页面的“Releases in Ubuntu”部分,找到特定的修复版本,它有自己的页面:https ://launchpad.net/ubuntu/+source/linux/3.2.0-109.150

  • 该页面上是一个变更日志。在该变更日志中包含对 CVE (CVE-2016-5696) 的引用、所做的特定修复以及制作者

CVE 页面令人困惑,因为它是从一个复杂的数据模型自动发布的,该模型跟踪上游源及其在沿袭中和跨沿袭的包装之间的相互关系。它遵循为权威优化的模板,不一定是为了可读性。

分类,如“DNE”或“待定”是指 Ubuntu 遵循的分类和发布工作流程。该页面上的状态是:

  • “DNE”表示该包不存在于谱系中
  • “忽略”意味着没有花费精力来确定问题是否存在于谱系中的特定包中,因为支持已因某种原因而终止。例如,参见 Ubuntu 12.04 LTS 沿袭中的 linux-lts-quantal 包。对该沿袭中的特定包(向后移植的硬件支持包)的支持已超出生命周期。
  • “需要分类”意味着仍然支持沿袭中的包,但需要确定报告的问题是否确实存在于该包沿袭对中。例如,参见 Ubuntu 16.10 中的“linux-goldfish”包。
  • “不受影响”意味着底层源代码漏洞存在于沿袭中的特定包中,但分类确定由于某些其他原因该问题不会发生。例如,参见 Ubuntu 16.04 LTS 中的“linux-mako”。
  • “需要”当然意味着分类已确定沿袭中的包受到影响,但仍需要将修复应用于沿袭中的特定包。例如,参见 12.04 沿袭中的 linux-armadaxp 包。
  • “待定”意味着将修复应用到沿袭中的特定包所需的工作已经完成,一个版本已经被削减,并且正在发布一个版本。
  • “已发布”表示该沿袭中的软件包的修复程序已发布