Уязвимость BDU:2022-04688

Дата: 19.07.2022. Автор: ФСТЭК России. Категории: Уязвимости

Идентификатор: BDU:2022-04688.

Наименование уязвимости: Уязвимость реализации драйвера /drivers/misc/pvpanic/pvpanic.c ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обслуживании.

Описание уязвимости: Уязвимость драйвера /drivers/misc/pvpanic/pvpanic.c ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить непривилегированному нарушителю вызвать отказ в обслуживании путем выполнения команды cat со специально подобранным параметром.
Уязвимое ПО: Операционная система Red Hat Inc. Red Hat Enterprise Linux 9 | Операционная система Linux от 5.14 до 5.14.4 |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 19.07.2022.
CVSS 2.0: AV:L/AC:L/Au:N/C:P/I:P/A:C
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,1)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,5)

Возможные меры по устранению:
Обновления ядра до версии 5.14.4 или выше

Использование рекомендаций:
https://madaidans-insecurities.github.io/guides/linux-hardening.html#restricting-sysfs
https://github.com/torvalds/linux/commit/a99009bc4f2f0b46e6c553704fda0b67e04395f5

Компенсирующие меры:
— ограничение доступа к sysfs, в т.ч. с предоставлением доступа "белому" списку приложений
.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости:

Тип ошибки CWE: CWE-476
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://lore.kernel.org/all/20210913131122.650214174@linuxfoundation.org/
https://cdn.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.14.4
https://github.com/torvalds/linux/commit/a99009bc4f2f0b46e6c553704fda0b67e04395f5
https://madaidans-insecurities.github.io/guides/linux-hardening.html#restricting-sysfs

Об авторе ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Читать все записи автора ФСТЭК России

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *