СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
Отрасли
Финансы Госсектор Образование Промышленность Ритейл Телеком Энергетика Медицина Авиация и космос ЖКХ Транспорт Агропром Строительство Автопром
О проектеStartUp HubКонтактыКомпанииРынкиMCPРекламаПолитика ПДнСогласие ПДнФайлы cookie
Уязвимости
ФСТЭК России
08.09.2022

BDU:2022-05656 (CVE-2022-38096) — уязвимость драйвера vmwgfx (drivers/gpu/vmxgfx/vmxgfx_kms.c) ядра операционной системы Linux

По данным БДУ ФСТЭК России, по состоянию на 29.10.2025.

Средний — 5.5/10 Устранена

Уязвимость драйвера vmwgfx (drivers/gpu/vmxgfx/vmxgfx_execbuf.c) ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии или вызвать отказ в обслуживании

Кого касается и что делать

  • Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7; Linux (Сообщество свободного программного обеспечения) — версии от 5.16 до 6.1.83 включительно, от 6.2 до 6.6.23 включительно, от 5.11 до 5.15.153 включительно, от 4.20 до 5.10.214 включительно, от 6.7 до 6.7.11 включительно, от 6.8 до 6.8.2 включительно; ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — версии 3.0
  • Что делать: уязвимость устранена производителем — применить исправления: kernel.org, kernel.org, kernel.org

Сведения об уязвимости

Идентификаторы BDU:2022-05656 · CVE-2022-38096
Уровень опасности Средний (базовая оценка CVSS 3.1 — 5.5; CVSS 2.0 — 4.6)
Вектор CVSS 3.1 AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на доступность
Наименование ФСТЭК Уязвимость драйвера vmwgfx (drivers/gpu/vmxgfx/vmxgfx_kms.c) ядра операционной системы Linux, позволяющая нарушителю повысить свои привилегии или вызвать отказ в обслуживании
Даты Опубликована: 12.09.2022 · Обновлена ФСТЭК: 29.10.2025 · Выявлена: 08.09.2022
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Данные уточняются
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-476 — разыменование указателя NULL
Класс уязвимости Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

  • Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
  • Linux (Сообщество свободного программного обеспечения) — версии от 5.16 до 6.1.83 включительно, от 6.2 до 6.6.23 включительно, от 5.11 до 5.15.153 включительно, от 4.20 до 5.10.214 включительно, от 6.7 до 6.7.11 включительно, от 6.8 до 6.8.2 включительно · операционная система
  • ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — 3.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства

ОС и платформы

  • Linux (Сообщество свободного программного обеспечения) — версии от 6.7.0 до 6.7.11 включительно, от 6.8.0 до 6.8.2 включительно

Возможные меры по устранению уязвимости

Обновление. В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Если обновиться нельзя

— ограничить доступ к файлу drivers/gpu/vmxgfx/vmxgfx_execbuf.c;
— отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;
— принудительная смена паролей пользователей;
— ограничение удаленного доступа к операционной системе недоверенных пользователей (SSH и проч.);
— ограничение доступа к командной строке для недоверенных пользователей;
— использование антивирусных средств защиты;
— мониторинг действий пользователей;
— использование систем управления доступом (таких, как SELinux, AppArmor и проч.).
Использование рекомендаций

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных