原标题：Linux专案修补可能存在11年之久的最高存取权限漏洞
示意图，与新闻事件无关。
Linux核心开发人员在上周修补了一个藏匿了11年的本地端权限扩张漏洞，可能让骇客取得系统的最高权限。
该漏洞是由Google的实习生Andrey Konovalov利用Google所建立的安全稽核工具syzkaller找到的，现身于Linux核心中的数据壅塞控制协议（Datagram Congestion Control Protocol，DCCP）中，而且可能早在Linux于2005年开始支援DCCP时就有了。
此一编号为CVE-2017-6074的安全漏洞属于记忆体重複释放（double-free）漏洞，将允许本地端无特权的使用者修改Linux核心的记忆体，以执行阻断服务攻击或是取得最高权限。
目前已确定的最早受到波及的Linux核心版本是2006年9月释出的2.6.18，但Konovalov认为该漏洞很可能在Linux核心第一次支援DCCP时的2.5.14就存在了，而那是在2005年10月，迄今已超过11年，且很多现在的Linux版本的预设值都启用了会受到影响的CONFIG_IP_DCCP。
研究人员警告，儘管它不是一个远端攻击漏洞，但这类的本地端权限扩张漏洞也不容小觑，若结合了其他允许远端骇客取得低权限的漏洞就可能带来重大风险。
包括红帽、Debian、Ubuntu与SUSE皆已修补了该漏洞。
iThome Security
相关：
图片来源: 甲骨文 安全研究人员发现，Java与Python的一项FTP服务漏洞，可让攻击者藉由在FTP URL注入恶意指令码，绕过防火墙对个人或企业发动攻击。安全公司BlindSpot Security研究人员Timothy Morgan发现到的攻击情境
图片来源: 甲骨文 安全研究人员发现，Java与Python的一项FTP服务漏洞，可让攻击者藉由在FTP URL注入恶意指令码，绕过防火墙对个人或企业发动攻击。安全公司BlindSpot Security研究人员Timothy Morgan发现到的攻击情境
Flash漏洞补不完，Adobe一更新，微软紧急跟进修补Windows
微软于本周二（12/21）释出MS17-005，紧急修补Windows中的Adobe Flash Player漏洞，该漏洞将允许骇客自远端执行任意程式。严格说来它是Adobe的Flash Player漏洞，而非Windows漏洞，只是因为Windows中的浏览器内建了A
图片来源: CC2.0 by Chris Shervey OpenSSL软体基金会（OpenSSL Software Foundation）上周释出了OpenSSL ?1.1.0e以修补一个允许远端骇客展开阻断服务攻击（DoS）的高严重性漏洞。根据OpenSSL的安全通报，在重新进行
Google旗下专门寻找零时差攻击漏洞的Project Zero团队上周再度藉由自动系统揭露了多个微软Windows平台的安全漏洞，相关漏洞出现在EMF（Enhanced Metafile）纪录处理DIBs（Device Independent Bitmaps，装置无关位元映