17.10.2025

BDU:2025-15944 (CVE-2025-40266) — уязвимость модуля arch/arm64/kvm/hyp/nvhe/ffa.c подсистемы виртуализации Kernel-based Virtual Machine (KVM)

По данным БДУ ФСТЭК России, по состоянию на 27.01.2026.

Средний — 5.5/10 Устранена

Уязвимость модуля arch/arm64/kvm/hyp/nvhe/ffa.c подсистемы виртуализации Kernel-based Virtual Machine (KVM) ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или повысить привилегии

Кого касается и что делать

Уязвимое ПО: Ubuntu (Canonical) — версии 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS, 24.04 LTS, 25.10; АЛЬТ СП 10 (АО «ИВК»); Linux (Сообщество свободного программного обеспечения) — версии 6.6.117, от 6.12.0 до 6.12.59 включительно, от 6.17.0 до 6.17.9 включительно
Что делать: уязвимость устранена производителем — применить исправления: lore.kernel.org, git.kernel.org, git.kernel.org

Сведения об уязвимости

Идентификаторы	BDU:2025-15944 · CVE-2025-40266
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 5.5; CVSS 2.0 — 4.6)
Вектор CVSS 3.1	AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость модуля arch/arm64/kvm/hyp/nvhe/ffa.c подсистемы виртуализации Kernel-based Virtual Machine (KVM) ядра операционной системы Linux, позволяющая нарушителю выполнить произвольный код или повысить привилегии
Даты	Опубликована: 16.12.2025 · Обновлена ФСТЭК: 27.01.2026 · Выявлена: 17.10.2025
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-120 — копирование буфера без проверки размера входных данных (классическое переполнение буфера)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Ubuntu (Canonical) — версии 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS, 24.04 LTS, 25.10 · операционная система
АЛЬТ СП 10 (АО «ИВК») — операционная система
Linux (Сообщество свободного программного обеспечения) — версии 6.6.117, от 6.12.0 до 6.12.59 включительно, от 6.17.0 до 6.17.9 включительно · операционная система

Возможные меры по устранению уязвимости

Обновление. В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций

Для Linux: lore.kernel.org/all/20251017075710.2605118-1-sebastianene…; git.kernel.org/stable/c/103e17aac09cdd358133f9e00998b75d6…; git.kernel.org/stable/c/bc1909ef38788f2ee3d8011d70bf02994…; git.kernel.org/stable/c/f9f1aed6c8a3427900da3121e18681248…; git.kernel.org/stable/c/fc3139d9f4c1fe1c7d5f25f99676bd8e9…
Для Ubuntu: ubuntu.com/security/CVE-2025-40266
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: altsp.su/obnovleniya-bezopasnosti/

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: